Blazor Server应用Azure AD登录流程需管理员授权问题排查

核心原因 #

出现管理员授权提示的核心问题是：你的应用注册时申请了需要租户管理员同意的高权限API权限（比如Microsoft Graph的Directory.Read.All、User.Read.All等），这类权限普通用户无法自行授权；即便你给用户分配了管理员角色，只要权限未完成全局管理员同意，用户登录仍会触发授权提示。

排查与解决步骤 #

• 检查API权限类型：登录Azure门户，进入Azure Active Directory→应用注册→你的Blazor应用→API权限，查看已添加的权限。若存在标记为「需要管理员同意」的权限，就是问题根源。
• 完成管理员全局同意：在API权限页面点击授予管理员同意（需拥有全局管理员/应用管理员/云应用管理员权限），等待权限生效后用普通用户测试登录。
• 验证企业应用用户分配：进入Azure Active Directory→企业应用→你的应用→用户和组，确认普通用户已正确分配角色；同时在属性页面检查需要用户分配？设置：若允许所有用户访问，设为「否」；若需指定用户，设为「是」且已完成分配。
• 简化不必要的高权限：如果应用不需要高权限API，移除「需要管理员同意」的权限，替换为普通用户可自行同意的权限（如User.Read），避免后续登录触发管理员授权要求。

内容的提问来源于stack exchange，提问作者Yonghun Kim