мультитенантное согласие администратора не удается с "AADSTS90094"

Question

У меня есть следующие настройки:

• 2 арендатора, T-1 и T-2
• мультитенантное приложение A, зарегистрированное в T-1.
  • Требуется согласие администратора для API Graph
  • В манифесте у меня есть "availableToOtherTenants": true и "signInAudience": "AzureADandPersonalMicrosoftAccount"
• У меня есть пользователь-администраторU-2 для T-2.
• U-2 приглашается на T-1 в качестве гостя и принимает.
• U-2 пытается предоставить согласие администратора для приложения в T-1(A) через URL https://login.microsoftonline.com/${T-1 guid}/adminconsent?${params}

На этом этапе я перенаправлен на страницу ошибки со следующей информацией:

---

A-1 требуется разрешениедля доступа к ресурсам в вашей организации, которые может предоставить только администратор.Пожалуйста, попросите администратора дать разрешение на это приложение, прежде чем вы сможете его использовать.

• Идентификатор запроса : bd83872a-aa37-440f-8a2e-82185f4f4300
• Идентификатор корреляции : 09219117-2532-4705-91f4-3447647feed0
• Отметка времени : 2019-03-05T18: 35: 05Z
• Сообщение: AADSTS90094 : Эта операция может выполняться только администратором.Выйдите из системы и войдите в систему как администратор или обратитесь к одному из администраторов вашей организации.

---

К вашему сведению У меня включена расширенная диагностика.

Есть какие-нибудь подсказки о том, что можно попробовать дальше?

Answer 1

Похоже, вы пытаетесь использовать U-2 для получения согласия администратора, который не является администратором в T-1.

U-2 пытается предоставить согласие администратора для приложения в T-1

Только администраторы в T-1 могут предоставить согласие администратора в T-1. В вашем случае это будет U-1, я верю.