企业应用已授管理员同意 用户访问仍提示需管理员审批问题咨询

关于管理员代表全租户授予同意的说明 #

完全支持该操作。Azure AD原生提供租户级管理员同意能力，全局管理员、云应用管理员、特权角色管理员等具备对应权限的目录角色，完成租户级管理员同意操作后，即代表租户内所有用户完成了对应应用的权限授权，正常场景下普通用户无需再单独提交同意申请，也不会弹出权限相关提示。

消除异常提示的配置调整步骤 #

你遇到的已经授予管理员同意仍弹出审批提示的问题，基本都是配置不匹配导致的，按以下顺序排查调整即可：

• 确认已完成真正的全租户级管理员同意，而非管理员个人账号的单独同意
  进入Azure AD管理中心，打开对应企业应用的「API权限」页面，检查所有已配置权限的状态列，是否全部标注为「已为<你的租户名称>授予」。如果存在未授予的项，点击页面顶部的「授予管理员同意」按钮，按提示完成全租户范围的授权即可，不要在普通用户登录弹出的同意页面，用管理员账号选择仅为个人同意的选项。
• 对齐应用代码实际请求的权限与门户配置的权限
  这是最常见的触发原因：你在应用注册页面配置的是基础权限，但应用代码构造的授权请求中，scope参数携带了额外的、需要管理员级同意的权限（比如目录读写类高权限），这种情况哪怕门户里已经给基础权限做了全租户同意，系统检测到请求里有未授权的高权限项，依然会弹出管理员审批提示。你可以抓取授权跳转的请求URL，核对scope参数里的权限列表，删除代码中多余的、非必要的权限，保证实际请求的权限和门户中已授权的权限完全一致。
• 检查租户级用户同意策略配置
  进入Azure AD管理中心的「企业应用-同意和权限-用户同意设置」页面，如果当前策略配置为「禁止用户对所有应用授予同意」，在权限配置存在微小偏差时就很容易触发全局管理员审批提示。如果出于安全要求必须保留该全局策略，可以单独为该应用配置同意策略例外，避免无差别触发提示。
• 清理缓存后复测
  完成以上配置调整后，清空浏览器缓存、或者用全新的隐私窗口打开应用登录，旧的授权请求缓存也可能导致提示重复弹出。

额外说明：如果租户开启了管理员同意请求工作流，只要应用请求的权限存在未完成全租户授权的项，系统会直接跳转到需要管理员审批的页面，不会向普通用户展示个人同意选项，这也是该提示出现的常见场景，只要完成前述的权限对齐和全租户授权即可自动消失。

内容的提问来源于stack exchange，提问作者David