Область действия Microsoft Graph "Domain.ReadWrite.All"

Question

Почему я не могу установить область действия Domain.ReadWrite.All для URL, например:

https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id=MY_APP_ID&response_type=code&state=12345&response_mode=query&redirect_uri=https%3A%2F%2Flocalhost%3A44331%2F&scope=domain.readwrite.all

не работает.

https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id=MY_APP_ID&response_type=code&state=12345&response_mode=query&redirect_uri=https%3A%2F%2Flocalhost%3A44331%2F&scope=user.read

работает.Это работает также для directory.readwrite.all и любых других, но не работает для domain.readwrite.all.Почему так?

Answer 1

Domain.ReadWrite.All - это область приложения (поток учетных данных клиента, он же только для приложения), и вы пытаетесь получить согласие пользователя на эту область в делегированном потоке авторизации.

Для использования Domain.ReadWrite.All вынеобходимо получить согласие администратора с использованием конечной точки согласия администратора, например:

GET https://login.microsoftonline.com/{tenant}/adminconsent? client_id = 6731de76-14a6-49ae-97bc-6eba6914391e & state = 12345 & redirect_uri = https://localhost/myapp/permissions

Отредактировано: обновлено до domain.readwrite.all