Azure AD + Graph-API: Wie können Sie nach neuen Berechtigungen erneut eine Anfrage stellen?

Question

Ich habe eine Anwendungsregistrierung in Azure AD, für die einige grafische API-delegierte Berechtigungen festgelegt sind.

Die Anwendung ist einfach eine Seite in SharePoint, die den Graph aufruft und sich mit der ADAL.js-Bibliothek authentifiziert.

Ich möchte jetzt einen zusätzlichen Graph-Aufruf auf der Seite zu einem neuen Graph-API-Endpunkt machen, so dass ich der Anwendung eine zusätzliche Berechtigung zuweisen muss. Ich setze diese Berechtigung in Azure AD und speichere. Der Benutzer, der auf die SharePoint-Seite zugreift, wird jedoch nie aufgefordert, die neuen Berechtigungen erneut zu senden. Daher schlägt der neue Graph-Aufruf mit einer nicht autorisierten 401-Nachricht fehl.

Ich habe dies mit einer Reihe von verschiedenen Endpunkten und Berechtigungen versucht, und ich bin sicher, dass ich die richtigen Berechtigungen in der Anwendung einstellen.

Wie kann ich den Zustimmungsdialog für Benutzer automatisch anzeigen lassen, wenn sich die Anwendungsberechtigungen ändern?

Admin Zustimmung ist keine Option.

Answer 1

Ich erinnere mich daran, mit einem Mitglied des Azure AD-Teams vor einiger Zeit eine Diskussion darüber geführt zu haben, und das hatte er damals vorgeschlagen (obwohl ich es nie ausprobiert habe, funktioniert es vielleicht nicht).

Wesentlichen, was er vorgeschlagen, dass, wenn Sie Unauthorized (401) Fehlermeldung erhalten, können Sie den Benutzer zu Azure AD Login umleiten wieder heißt OAuth Autorisierungsablauf wieder folgen, sondern umfassen prompt=consent im Zeichen in URI. Dadurch wird dem Benutzer eine Zustimmungsseite mit den neuesten Berechtigungen angezeigt. Sobald der Benutzer der neuesten Berechtigung zustimmt, können Sie den Benutzer zurück zu Ihrer Anwendung umleiten. Sie können diesen Link hilfreich zum Verständnis verschiedener Werte für propmpt Parameter finden: https://docs.microsoft.com/en-us/azure/active-directory/develop/active-directory-protocols-openid-connect-code.

Wieder habe ich das nicht persönlich versucht, so dass es möglicherweise nicht funktioniert. Wenn nicht, lass es mich wissen und ich werde meine Antwort entfernen.