使用Sites.Selected委托权限下载SharePoint文档时触发管理员审批错误

场景说明 #

已完成以下配置：

• 使用**站点选择权限（Sites.Selected）**委托权限范围，代表登录用户读取SharePoint中的文件
• 已向Azure AD应用授予特定站点的委托读取权限
• 已将**站点选择权限（Sites.Selected）**添加至该Azure AD应用

遇到的问题：使用该权限范围生成令牌调用Graph API时，登录阶段微软登录页面显示「需要管理员审批」错误。

可能的原因 #

• 租户全局权限策略限制：Azure AD租户可能设置了用户同意权限的管控策略，比如强制所有应用权限请求都需要管理员审批，或针对**站点选择权限（Sites.Selected）**这类权限单独设置了审批要求。即使配置了站点级权限，租户层面的全局策略会优先拦截用户自行授权的请求。
• 站点权限分配未生效或配置错误：
  • 确认是否将站点权限正确分配给了目标Azure AD应用（而非服务主体、用户等其他对象）
  • 检查权限分配是否覆盖当前登录用户的访问场景，比如用户本身是否拥有该站点的访问权限，否则即使应用有站点权限，用户自身无权限也可能触发异常
• 权限请求范围包含受限权限：生成令牌时的请求范围如果额外包含了其他需要管理员审批的权限，哪怕只需要站点选择权限（Sites.Selected），只要范围里存在受限权限，就会触发审批提示。需确认请求范围仅包含Sites.Selected。
• 应用权限配置不完整：
  • 确认Azure AD应用中添加的站点选择权限（Sites.Selected）为委托权限，且已完成「管理员授予（针对组织）」的操作
  • 检查是否误添加了应用权限（而非委托权限），应用权限类型通常默认需要管理员审批，与站点级权限配置无关

内容的提问来源于stack exchange，提问作者Mannan Bahelim