Office 365 API权限管理员同意授予失败求助

排查步骤与解决方案 #

1. 确认操作账号的角色权限 #

只有全局管理员、云应用管理员或应用程序管理员才能为Azure AD应用授予管理员同意。请切换到具备上述角色的账号后重试操作：

• 登录Azure门户，进入「Azure Active Directory」>「角色和管理员」，搜索当前账号名称，查看其拥有的角色。

2. 检查权限配置的正确性 #

• 进入「应用注册」> 你的目标应用 >「API权限」，确认添加的权限均为Application类型（而非Delegated类型），且无重复添加的权限条目。若有重复，删除多余条目后重新尝试同意。
• 确认权限对应的目标API（如Microsoft Graph）支持管理员同意，部分第三方API可能需要额外的审批流程。

3. 使用PowerShell命令完成管理员同意 #

若门户操作持续失败，可通过PowerShell执行同意操作：

1. 安装AzureAD模块（若未安装）：

   Install-Module -Name AzureAD -Force
   

2. 连接到Azure AD：

   Connect-AzureAD
   

3. 获取应用的服务主体对象：

   $appSp = Get-AzureADServicePrincipal -Filter "DisplayName eq '你的应用显示名称'"
   

4. 获取目标API的服务主体（以Microsoft Graph为例）：

   $graphSp = Get-AzureADServicePrincipal -Filter "DisplayName eq 'Microsoft Graph'"
   

5. 选择需要同意的Application权限（示例为User.Read.All）：

   $targetPermission = $graphSp.AppRoles | Where-Object {$_.Value -eq "User.Read.All" -and $_.AllowedMemberTypes -contains "Application"}
   

6. 授予权限同意：

   New-AzureADServiceAppRoleAssignment -ObjectId $appSp.ObjectId -PrincipalId $appSp.ObjectId -ResourceId $graphSp.ObjectId -Id $targetPermission.Id
   

4. 检查租户状态与浏览器环境 #

• 进入「Azure Active Directory」>「概述」，确认租户无订阅过期、违规限制等异常状态。
• 清除浏览器缓存或使用隐私窗口重新登录Azure门户，避免缓存导致的操作异常。

内容的提问来源于stack exchange，提问作者Avani11296