Azure AD应用出现Need admin approval错误，新外部用户无法访问如何排查

一、优先排查近期Azure AD默认配置变更 #

2024年2月微软逐步推送了外部协作权限的默认规则更新，完全匹配你描述的故障特征：

针对所有未自定义外部用户同意设置的租户，默认将外部用户的自行同意权限从「允许同意低风险权限」调整为「禁止自行同意所有第三方应用权限」，该变更仅对更新生效后新添加的外部用户生效，存量外部用户不受影响，且管理员重新授予全局同意也无法覆盖该用户级限制。

修复路径：

• 进入Azure Portal > Azure AD > 外部身份标识 > 外部协作设置
• 找到「外部用户同意权限」模块，将配置调整为 允许外部用户同意低风险应用权限 或根据业务需求自定义同意规则即可。

二、其他需验证的配置项 #

• 检查用户同意策略：进入Azure AD > 企业应用 > 同意和权限 > 用户同意设置，确认没有针对外部用户单独配置严格的禁止同意策略，也没有将所有低风险权限的同意权限收归管理员。
• 检查应用权限配置：确认应用注册中配置的offline_access、openid、profile、User.Read均为委派权限，且多租户应用的管理员同意范围覆盖所有外部租户，而非仅本租户。另外可通过企业应用 > 对应应用 > 权限 > 权限评审，确认没有隐式新增未授予同意的请求权限。
• 检查外部用户状态：确认报错的新外部用户的邀请状态为已接受，未被加入配置了应用访问限制的安全组。

临时应急方案 #

如果不想调整全局外部用户权限，可以单独给受影响用户授予应用访问权限：进入企业应用 > 对应应用 > 用户和组 > 添加用户，选择对应外部用户分配默认访问角色即可绕过权限校验报错。

内容的提问来源于stack exchange，提问作者Sushrut Paranjape