Azure Entra ID管理员授权弹窗问题及相关技术疑问咨询

我用Streamlit和Python开发了一个测试应用，引导用户通过Azure Entra ID登录，登录后展示用户显示名和角色。登录URL如下：
https://login.microsoftonline.com/[TenantID]/oauth2/v2.0/authorize?client_id=[ClientID]&response_type=code&redirect_uri=[MyLocalURL]&scope=User.Read+offline_access+openid+profile&state=[GUID]&nonce=[GUID]&prompt=select_account

已完成Azure Entra ID应用注册，添加了对应API权限、配置了企业应用设置，但在客户环境中仍弹出管理员授权窗口。针对此问题，有以下疑问：

• 是否必须在"Permission Classification"面板中添加"User.Read"权限？
• 若答案为是，该设置将应用于租户级别，此安全顾虑是否合理？或是这是唯一的解决方式？
• 重定向URL中包含offline_access、openid、profile，是否必须在API权限中添加这些权限？
• 还有哪些可能导致管理员授权弹窗的因素？

问题解答 #

1. 是否必须在"Permission Classification"面板中添加"User.Read"权限？ #

不用。Permission Classification只是用来给权限做分类标记（比如将常用权限标注为"Low Impact"），方便管理员批量管理权限，并非让普通用户免授权的必要条件。管理员授权弹窗的核心原因是权限需要租户管理员提前同意，和这个分类面板无关。

2. 若答案为是，该设置将应用于租户级别，此安全顾虑是否合理？或是这是唯一的解决方式？ #

既然第一个问题答案是否定的，这个安全顾虑本身不成立。解决管理员授权弹窗的正确方式是让租户管理员提前为应用授予管理员同意（在Azure Entra ID的应用注册→API权限页面，点击"授予[租户名]管理员同意"按钮）。这个操作是租户级别的，但属于企业应用部署的常规流程，安全风险可控——毕竟管理员是确认过应用的权限范围后才进行同意操作的。

3. 重定向URL中包含offline_access、openid、profile，是否必须在API权限中添加这些权限？ #

• openid和profile属于OpenID Connect的标准身份验证范围，不需要在API权限中单独添加，它们是OIDC身份验证流程的基础组成部分。
• offline_access用于获取刷新令牌，需要在API权限中添加（属于Microsoft Graph的Delegated类型权限）。不过即使未添加，一般只会触发用户级别的授权请求，不会直接导致管理员授权弹窗——除非租户配置了严格的权限审核规则。

4. 还有哪些可能导致管理员授权弹窗的因素？ #

• 权限类型/范围问题：如果请求的是Application类型权限（而非Delegated权限），必须由管理员同意；或者Delegated权限属于"需要管理员同意"的范围（比如User.Read.All这类跨用户的权限）。
• 租户安全策略：租户开启了"用户同意应用权限需管理员审批"的设置（在Azure Entra ID→企业应用→用户设置中配置），哪怕是普通权限，用户也无法自行同意，必须由管理员审批。
• 应用注册配置错误：权限未添加完整，或者已添加的权限没有被管理员提前授予同意，用户登录时触发了需要管理员确认的权限请求。
• 登录URL的scope参数问题：如果scope中包含了未在应用注册里添加的权限，或者包含了需要管理员同意的权限范围，就会触发管理员授权弹窗。

内容的提问来源于stack exchange，提问作者Banng