Azure AD应用类型疑问：应用注册与许可的对象生成差异

嘿，我来帮你把这里的逻辑理清楚——你的基础理解是对的，但关于库应用的部分有个关键细节需要补充：

先明确核心概念的两种场景 #

• 手动注册自定义应用：
  当你在自己的租户里注册一个全新的自定义应用时，确实会同时生成两个核心对象：
  • 应用对象（Application Object）：这是应用的"全局模板"，存储着应用的基础配置（比如重定向URI、权限声明、清单等），它只存在于你创建它的那个租户（也就是应用的"主租户"）。
  • 服务主体（Service Principal）：这是应用在租户里的"身份实例"，用来处理实际的身份验证、授权请求，相当于应用在这个租户里的"操作账户"。
• 对外部租户应用授予许可：
  如果你只是给其他租户里已有的应用授予权限，那你的租户只会创建对应的服务主体——这个主体是源租户应用对象的配置副本，你只能管理本地的服务主体，没法修改源应用的应用对象。

为什么添加Twitter这类库应用会同时生成两者？ #

你遇到的这个情况很正常，因为画廊/库应用（比如Twitter、Microsoft 365应用这类）本质是多租户应用：
它们的发布者已经在自己的主租户中创建了应用对象。当你在自己的租户中添加这类应用时，Azure AD会自动在你的租户里复制一份该应用的应用对象（相当于把模板同步到你的租户），同时创建对应的服务主体。
这就是你能打开并修改清单的原因——这个应用对象现在属于你的租户了，你拥有对它的编辑权限，而不是只能操作服务主体。

一句话总结区别 #

• 本地自定义应用：主租户同时拥有「应用对象+服务主体」
• 仅授权外部租户应用：本地只有「服务主体」
• 画廊/库应用：本地会生成「应用对象副本+服务主体」，允许你在租户内调整配置

内容的提问来源于stack exchange，提问作者Thomas