C#开发AAD多租户应用遇AADSTS65001错误，求缺失配置

你遇到的AADSTS65001错误核心原因是跨租户场景下的权限同意未正确完成，结合你使用的ROPC（Resource Owner Password Credentials）流，以下是遗漏的关键设置和解决步骤：

1. 目标租户需单独完成管理员同意 #

你在自身组织做的管理员同意仅对本租户生效，其他租户需要各自的管理员执行租户级权限同意：

• 让目标租户的管理员访问以下格式的URL（替换占位符）：

  https://login.microsoftonline.com/{目标租户ID或域名}/adminconsent?client_id={你的APP ID}&scope=offline_access email https://outlook.office.com/IMAP.AccessAsUser.All
  

• 完成同意后，该租户内的用户才能通过ROPC流获取令牌。

2. 开启应用的「允许公共客户端流」 #

ROPC流属于公共客户端认证流，需在Azure AD应用注册中开启此开关：

• 进入Azure门户 → 你的应用注册 → 身份验证页面
• 在「高级设置」下，将允许公共客户端流设为「是」
• 保存设置后，目标租户的公共客户端请求才能被正常处理。

3. 遵守ROPC流的权限同意限制 #

ROPC流不支持交互式同意流程，因此必须确保：

• 目标租户的用户/管理员已提前完成权限同意（无法通过ROPC流触发同意）
• 目标租户未开启「禁止非管理员用户同意应用权限」的限制，若开启则必须由管理员完成租户级同意。

4. 验证权限配置的有效性 #

确认你添加的https://outlook.office.com/IMAP.AccessAsUser.All是委派权限，且已在应用注册中正确添加：

• 进入Azure门户 → 你的应用注册 → API权限页面
• 确保该权限在你的租户内状态为「已授予{你的租户名称}管理员同意」，而目标租户需各自完成同意操作。

内容的提问来源于stack exchange，提问作者Jem