Office 365: требуется одобрение администратора при запросе области Mail.Read

Question

Я пытаюсь создать приложение iOS, которое позволяет читать электронную почту пользователя Office 365. Итак, я создал многопользовательское Azure приложение Active Directory, и во время аутентификации OAuth я запрашиваю следующую область: offline_access User.Read Mail.Read EWS.AccessAsUser.All.

К сожалению, когда я пытаюсь войти в систему как пользователь Office 365 без прав администратора , вместо отображения диалогового окна просмотра разрешений я получаю сообщение «% AppName% требует одобрения администратора». Не могли бы вы помочь мне понять, как я могу избежать диалога «Требуется одобрение администратора»?

Вход в систему через другие почтовые клиенты (я тестировал Edison Mail) с той же областью действия и с той же учетной записью, показывает диалоговое окно гранта (никто в организации ранее не входил в приложение, ни один администратор не предварительно одобрил это). Если потребуется дополнительная информация, я буду счастлив предоставить их!

Заранее спасибо!

PS Если оставить только offline_access User.Read в области действия, на самом деле отображается диалоговое окно гранта, но популярные приложения каким-то образом могут получить сразу все необходимые разрешения ...

Answer 1

Хотя для областей Mail.Read и EWS.AccessAsUser.All не требуется одобрение администратора на уровне Graph API, организации могут отключить настройку согласия пользователя Office 365 Разрешить сотрудникам вашей организации решать, стоит ли сторонние приложения могут получить доступ к своей информации Office 365 .

Рекомендации по безопасности рекомендуют отключить этот параметр. Если он выключен, произойдет одно из двух.

• Если рабочий процесс согласия администратора включен, то пользователь получит форму, в которой он может отправить запрос. для утверждения приложения.

• Если рабочий процесс согласия администратора не включен, они увидят сообщение «Требуется одобрение администратора».

Более подробная информация о согласии пользователя доступна здесь

Вам нужно будет предоставить пользователям некоторые инструкции, как заставить их организацию одобрить ваше приложение в случае, если пользователь не может предоставить это согласие.

Я не уверен, почему Edison Mail работает, хотя вполне возможно, что регистрация его приложения была внесена в белый список Microsoft; У меня нет доступа к порталу администрирования Office 365 для подтверждения.