Azure应用注册：已配置权限与AD其他已授予权限的区别及场景

一、核心差异 #

• 「已配置权限」：属于**应用对象（Application Object）**层面的配置，是你在应用注册阶段主动添加的权限清单，相当于给应用“申请”的权限列表。这个清单会同步到该应用在所有租户对应的服务主体，但仅仅是待授权的请求，不代表实际能使用。
• 「其他为AD授予的权限」：属于**服务主体（Service Principal）**层面的生效权限，是当前租户实际批准给应用的权限，只有这些权限才是应用在当前租户内真正能使用的权限。

二、适用场景 #

「已配置权限」的适用场景 #

• 开发多租户应用时，统一定义应用需要的权限范围，方便其他租户的管理员查看、审批权限申请
• 单租户应用中，作为权限申请的草稿，提交给租户管理员进行授权操作
• 梳理应用的权限需求，做权限合规自查、权限最小化设计的基础依据

「其他为AD授予的权限」的适用场景 #

• 单租户应用排查访问问题时，确认当前应用实际拥有的生效权限，判断是否是权限不足导致的问题
• 多租户应用在目标租户中，确认租户管理员是否已经批准了应用的权限申请
• 审计应用实际拥有的权限范围，调整权限配置以满足最小权限原则

关于单/多租户的补充 #

你的推测是对的，二者和单/多租户确实相关：

• 多租户应用中，「已配置权限」是跨租户授权的申请模板，每个租户的管理员可以基于这个模板批准或拒绝权限；而「其他为AD授予的权限」是每个租户独立授予的、仅在该租户生效的权限
• 单租户应用中，「已配置权限」是你提交的权限申请，「其他为AD授予的权限」是管理员批准后实际生效的权限

内容的提问来源于stack exchange，提问作者user527614