App Registration权限配置问题：添加权限后用户仍无法访问，提示Need Admin Approval

• 检查应用权限的管理员同意状态
  如果你的应用请求了管理员级别的委托权限（如Directory.Read.All、User.ReadWrite.All），普通用户无法自行完成权限同意，必须由管理员预先授予同意。进入Microsoft Entra ID => 企业应用 => 目标应用 => 权限页面，点击「授予管理员同意」按钮完成授权，之后用户即可正常访问。

• 确认应用注册的权限范围
  前往App Registrations => 目标应用 => API权限，检查添加的权限是否必要。如果仅需用户访问自身数据，优先使用User.Read这类低权限权限——这类权限通常允许普通用户自行同意（取决于租户策略），避免触发管理员审批要求。

• 检查租户的用户同意策略
  进入Microsoft Entra ID => 身份验证 => 用户同意设置，查看租户对用户同意应用权限的限制：

  • 若设置为「不允许用户同意任何应用」，所有应用权限都需要管理员预先同意；
  • 若设置为「允许用户同意已验证发布者应用的低权限」，则低权限应用用户可自行同意，高权限仍需管理员介入。
    根据业务需求调整该策略，平衡安全性与用户体验。

• 验证用户分配的角色有效性
  再次核对Enterprise Applications => 目标应用 => 用户和组中的配置：确保添加的用户已被正确分配Default Access角色，且用户状态为「已启用」。避免出现添加用户时未选中角色就保存的情况，导致用户没有实际访问权限。

内容的提问来源于stack exchange，提问作者Swapnil Bhosale