Où gérer les autorisations d'administration uniquement MS Graph pour l'application enregistré via le portail de demande d'inscription

Question

J'ai créé une application native dans le portail Enregistrement de l'application à https://apps.dev.microsoft.com

J'ai configuré un projet Xcode basé sur le cadre MSAL pour iOS, et je suis capable de consommer des données de MS Graph lorsque seul le consentement de l'utilisateur est requis (comme User.ReadBasic.All)

Cependant, si je veux accéder à la portée User.Read.All, cela ne fonctionne pas. Je rencontre l'exigence d'un administrateur pour donner l'accès (comme prévu), mais mon administrateur n'est pas en mesure de trouver l'endroit pour donner les autorisations nécessaires. Se connecter avec les informations d'identification de l'administrateur lorsque vous y êtes invité dans l'écran "Accorder l'accès" (voir capture d'écran ci-dessous) ne fonctionne pas (redirige vers le même écran, n'acceptant apparemment pas les informations d'identification admin).

Nous ne savons pas que ce soit la façon d'accorder l'application des autorisations de toute façon, étant donné que la documentation est pas explicite sur la façon dont l'administration peut accorder les autorisations nécessaires.

Nous ne pouvons pas trouver l'endroit dans Azure AD où l'autorisation d'administration peut être accordée.

Il existe beaucoup de documentation sur l'utilisation du framework MSAL, mais il semble que cette étape manque.

Answer 1

Après avoir ajouté les autorisations de graphique Microsoft que votre application nécessite dans le portail d'inscription d'application, vous pouvez demander manuellement le consentement d'administration en redirigeant à point final de consentement admin dans le navigateur:

GET https://login.microsoftonline.com/{tenant}/adminconsent? 
client_id=6731de76-14a6-49ae-97bc-6eba6914391e 
&state=12345 
&redirect_uri=http://localhost/myapp/permissions 

S'il vous plaît cliquez ici pour plus de détails sur admin consent endpoint . Pour iOS, l'URL de redirection doit correspondre au schéma d'URL enregistré dans l'application, qui est msal {id-client}: // auth si vous avez utilisé l'installation guidée lors de la création de l'application sur apps.dev.microsoft.com. Cela ne fonctionne que si vous mettez le point de terminaison du consentement administrateur ci-dessus dans le navigateur sur le téléphone sur lequel l'application est installée, car sinon il n'y a rien à rediriger vers.