Azure Entra ID中API权限与授权客户端应用的差异及适用场景

你提到的原有API访问配置流程是：在Entra ID中注册两个应用，一个作为资源应用配置暴露的API范围，另一个作为客户端应用在「API权限」中添加该范围并完成管理员同意。而你发现的「授权客户端应用」功能，是资源应用侧的权限授权快捷方式，以下是具体解析：

一、核心作用 #

「授权客户端应用」是在**资源应用（暴露API的应用）**的「暴露API」页面中，直接指定可访问该API范围的客户端应用，操作完成后会自动为目标客户端应用添加对应API权限并完成管理员同意，无需再切换到客户端应用的配置页面。

二、与原有配置方式的差异 #

• 操作路径不同：原有方式需要在客户端应用的「API权限」页面添加权限再发起同意；新方式直接在资源应用的「暴露API」页面完成授权，一步到位。
• 权限支持范围不同：原有方式既支持委派权限（API范围）也支持应用权限（应用角色）；新方式仅能授权委派权限，无法配置应用角色类的权限。
• 管理视角不同：原有方式从客户端视角管理已获取的权限；新方式从资源视角统一管控所有有权访问该API的客户端，更便于权限审计。

三、适用场景 #

• 跨应用权限快速配置：当你同时拥有资源应用和客户端应用的管理权限时，用这个功能可以减少页面切换，提升配置效率。
• 资源侧统一权限管控：如果有多个客户端需要访问同一个资源API，在资源侧集中管理授权列表，能更清晰地跟踪哪些客户端有权限，便于后续调整或回收权限。
• 外部合作方授权：对于合作方的客户端应用，资源应用管理员直接授权即可，不需要对方操作自己的客户端应用配置，降低协作成本。

内容的提问来源于stack exchange，提问作者Sayak Mukhopadhyay