MS Teams集成工作账户应用登录时需Admin consent问题求助

• 确认租户级管理员同意是否完成
  进入Azure AD的「应用注册」→ 你的应用 →「API权限」页面，检查所有已添加的聊天/频道权限是否显示「已授予（你的租户名称）」状态。如果仅完成个人用户同意，其他用户登录时仍会触发管理员同意请求，需点击「授予管理员同意（你的租户名）」完成租户级授权。

• 验证权限类型与范围匹配
  确保添加的是委派（Delegated）权限（对应用户登录后使用的场景），而非应用权限（适用于后台服务）。同时确认所有需要的委派权限都已获得管理员的租户级同意，无遗漏项。

• 检查企业应用的用户访问配置

  1. 进入Azure AD→「企业应用」→ 你的应用→「用户和组」，确认「需要用户分配」设置为否。若开启用户分配，未被添加到分配列表的用户登录时会触发权限请求。
  2. 切换到「属性」页面，确认「用户可以访问此应用」设置为是。

• 排查登录请求中的权限范围
  检查应用代码中请求令牌的scope参数，确保仅包含已在Azure AD中添加且获得管理员同意的权限。若存在未配置的权限，用户登录时会触发新的管理员同意提示。

• 核对管理员同意策略设置
  检查Azure AD的「企业应用」→「管理员同意设置」，确认是否存在限制用户自行同意权限的策略。若应用使用的权限属于高风险类别，需确保管理员已主动完成租户级同意，而非依赖用户自行申请。

内容的提问来源于stack exchange，提问作者Sujata Hegde