Согласие администратора Azure с несколькими арендаторами не работает

Question

У меня есть некоторые проблемы с согласием администратора в мультитенантной среде.Вот моя структура,В этом приложении я установил разрешения для Microsoft Graph.Затем я предоставил это разрешение.

Теперь я хочу, чтобы и это Приложение 1 было в моем Арендаторе 2, поэтому я делаю AdminConsent с: https://login.microsoftonline.com/TenantID_of_Tenant2/adminconsent?client_id=ClientID_of_App1

Он работал нормально.Через несколько минут я увидел App1 в Tenant2 и смог, т.е. дать право доступа к App1 для пользователей Tenant2.Нет проблем.

Итак, мне пришлось дать моему App1 еще несколько разрешений.Поэтому я щелкнул «Регистрация приложений» в Tenant1 и дал больше разрешений для Microsoft Graph.Затем я щелкнул «Корпоративные приложения» в Tenant1, выбрал «App1 -> Permission», а затем «Предоставить административное согласие для tenant1».Был открыт новый браузер, и я смог дать согласие администратора для App1 в Tenant1.

Затем я подумал, что я должен сделать то же самое в Tenant2, потому что он работает в первый раз.Поэтому в Tenant2 я также перешел в ActiveDirectory -> Приложения предприятия -> выбрал мое приложение 1 -> Разрешения. Здесь я увидел первые разрешения, которые я предоставил.Затем я нажал «Предоставить административное согласие для Tenant2».Был открыт новый браузер, но теперь произошел сбой при следующей ошибке: https://myRedirectURL/?error=access_denied&error_description=AADSTS65005%3a+The+application+%clientID_of_App1%27+asked+for+permissions+to+access+a+resource+that+has+been+removed+or+is+no+longer+available.+Contact+the+app+vendor.%0d%0aTrace+ID%TraceID%0d%0aCorrelation+ID%CorrelationIDaTimestampTimestamp&admin_consent=True&tenant=TenantID_of_Tenant2

Лучше прочитать: Ошибка:

"AADSTS65005. Приложение ID_App1 запросило разрешения для доступа кресурс, который был удален или больше недоступен. Обратитесь к поставщику приложения. "

Я получаю ту же ошибку при вызове URL https://login.microsoftonline.com/TenantID_of_Tenant2/adminconsent?client_id=ClientID_of_App1

Но яничего не делал ... так в чем проблема?

Answer 1

В случае ошибки URI перенаправления вы можете выполнить следующие действия:

1. Установите ресурс в вашем запросе на Azure AD.
2. Убедитесь, что идентификатор клиента WebApp настроен всвойство массива WebApi «knowClientApplications» в файле манифеста
3. Убедитесь, что все разрешения правильные (API добавляются как делегированные разрешения клиенту).
4. Убедитесь, что все службы (веб-приложение и apis) являются многопользовательскими
5. Обновление манифеста с помощью:

"availableToOtherTenants": true,
  "knownClientApplications": [
    "{client app application id}"
  ],

См. также шаги по устранению неполадок в следующих аналогичных темах:

Ошибка Azure AD при получении токена доступа и имени входа

Клиентское приложение запросило доступ к ресурсу 'https://outlook.office365.com& # 39 ;.Этот запрос не удался