申请Application Permissions的权限范围、风险及限制方式问询

问题1：批准Reports.Read.All Application权限后，应用是否可访问整个租户内的所有组织报告（含敏感信息）？ #

是的。Reports.Read.All作为Application权限，授予后应用将获得全租户级别的只读访问权限，可读取Microsoft Graph支持的所有组织级报告，包括含敏感数据的内容（如用户登录行为明细、许可证使用隐私数据、合规报告等），无单用户范围限制。

问题2：User.Read.All Application权限是否能以只读形式获取所有用户的姓名、员工ID、直属上级、电话、地址等详细信息？ #

没错。User.Read.All的Application权限是全租户范围的只读权限，可读取Azure AD目录内所有用户的几乎全部已配置属性，包括你提到的姓名、员工ID、直属上级（通过manager属性）、联系电话、物理地址等，只要这些属性在租户中已存在并启用。

问题3：Directory.Read.All作为Application Permission是否允许应用读取组织内所有用户组及在用应用的全部信息？ #

是的。Directory.Read.All是覆盖整个Azure AD目录的只读权限，不仅能读取租户内所有用户组（安全组、通讯组、Microsoft 365组的所有属性），还可获取所有已注册应用程序的完整配置信息（如应用ID、权限配置、所有者、重定向URI等）。

问题4：是否存在限制Application Permission的方法？ #

有多种实用的限制手段：

• 条件访问策略：针对目标应用配置条件访问规则，比如限制仅允许从指定IP段访问，或要求应用关联合规托管设备
• 权限范围限定：对部分支持的Graph权限（如User.Read.All、Group.Read.All），可配置应用权限范围（Application Permission Scoping），将应用的访问范围限制在特定OU、安全组或用户集内
• 租户同意策略：设置租户级的应用同意策略，限制高权限应用权限的审批流程（比如要求全局管理员审批，或禁止用户自行同意高权限应用）
• 实时监控与权限回收：开启Azure AD审计日志和登录日志，实时监控应用的访问行为，一旦发现异常操作，可立即撤销对应的应用权限

内容的提问来源于stack exchange，提问作者Sachindra