在 Microsoft Entra ID 中更新应用所需权限

本部分介绍如何将权限添加到静态同意中。

可以在 Microsoft Entra 管理中心以两种不同的方式向静态同意添加权限：

1. 以至少为云应用程序管理员的身份或应用程序所有者的身份登录到 Microsoft Entra 管理中心。
2. 浏览到“标识”>“应用程序”>“应用注册”>“所有应用程序”。
3. 找到要向其添加权限的应用注册并将其选中。 可以通过两种不同的方式添加权限：
4. 在 API 权限窗格中添加权限。

   1. 找到“API 权限”窗格，然后选择“添加权限”。

   2. 选择要访问的 API 以及要从可用选项列表中请求的权限，然后选择“添加权限”。

      

1. 在左侧导航窗格中，在“管理”菜单组下，选择“清单”。 该选择将打开一个编辑器，用于直接编辑应用注册对象的属性。
2. 仔细编辑应用程序清单文件中的 requiredResourceAccess 属性。
3. 添加 resourceAppId 属性和 resourceAccess 属性并分配所需的权限。
4. 保存所做更改。

若要完成添加权限的以下步骤，需要以下资源和权限：

• 在你选择的工具中运行 HTTP 请求，例如，在你的应用中运行。
• 以至少为云应用程序管理员的用户或目标应用注册的所有者身份运行 API。
• 必须向用于进行这些更改的应用授予 Application.ReadWrite.All 权限。

1. 确定应用所需的权限、其权限 ID 以及应用角色（应用程序权限）或是委派权限。 例如，如果要请求 Microsoft Graph 权限，请参阅 Microsoft Graph 权限，获取权限列表及其 ID。

2. 将所需的 Microsoft Graph 权限添加到应用。 以下示例调用更新应用程序 API，将所需的 Microsoft Graph 权限添加到由对象 ID aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb 标识的应用注册。 此示例使用 Analytics.Read 和 Application.Read.All 委托的权限和应用程序权限。 Microsoft Graph 被标识为 ServicePrincipal 对象，其中 00000003-0000-0000-c000-000000000000 为其全局唯一 AppId。

   PATCH https://microsoftgraph.chinacloudapi.cn/v1.0/applications/aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
   Content-Type: application/json
    {
        "requiredResourceAccess": [
            {
                "resourceAppId": "00000003-0000-0000-c000-000000000000",
                "resourceAccess": [
                    {
                        "id": "e03cf23f-8056-446a-8994-7d93dfc8b50e",
                        "type": "Scope"
                    },
                    {
                        "id": "9a5d68dd-52b0-4cc2-bd40-abcf44ac3a30",
                        "type": "Role"
                    }
                ]
            }
        ]
    }
   

动态同意是在运行时从用户或管理员请求权限的一种方式，而不是在“应用注册”窗格中静态声明权限。 动态同意允许应用仅请求特定功能所需的权限，并在需要时获取用户或管理员的同意。 动态同意可以与委托的权限一起使用，并且可以与 /.default 范围结合使用，以请求管理员同意所有权限。

若要将权限添加到动态同意中，请执行以下操作：

• 使用 Microsoft Graph：将所需的 Microsoft Graph 权限添加到应用注册。 此示例使用 Analytics.Read 和 Application.Read.All 委托的权限和应用程序权限。 将`scopes`中的值替换为要为应用配置的任何 Microsoft Graph 委托的权限的值。

  请求应类似于以下示例：

  https://login.partner.microsoftonline.cn/common/oauth2/v2.0/authorize?client_id=00001111-aaaa-2222-bbbb-3333cccc4444&response_type=code&scope=Analytics.Read+Application.Read

• 使用 MSAL.js：将`scopes`中的值替换为要为应用配置的任何 Microsoft Graph 委托的权限的值。

    const Request = {
        scopes: ["openid", "profile"],
        loginHint: "example@domain.net"
    };
  
    myMSALObj.ssoSilent(Request)
        .then((response) => {
            // your logic
        }).catch(error => {
            console.error("Silent Error: " + error);
            if (error instanceof msal.InteractionRequiredAuthError) {
                myMSALObj.loginRedirect(loginRequest);
            }
    });
  

若要停止请求需要静态同意的权限，需要从应用注册窗格中移除该权限。 租户的管理员还需要在“企业应用程序”窗格上撤销权限。 有关如何撤销授予企业应用程序的权限的详细信息，请参阅撤销企业应用程序的权限。

本部分介绍如何停止请求静态同意的权限。

可以在 Microsoft Entra 管理中心以两种不同的方式从静态同意中删除权限：

1. 以至少为云应用程序管理员的身份或应用程序所有者的身份登录到 Microsoft Entra 管理中心。
2. 浏览到“标识”>“应用程序”>“应用注册”>“所有应用程序”。
3. 查找要从中移除权限的应用注册，并将其选中。
4. 从“API 权限”窗格中移除权限：

   1. 找到“API 权限”窗格，找到要移除的权限。

   2. 选择要移除的 API，然后选择首先“撤销管理员同意”，然后移除权限。 它可确保从租户中移除已授予的权限。

      

1. 在左侧导航窗格中，在“管理”菜单组下，选择“清单”。 此时会打开一个编辑器，用于直接编辑应用注册对象的属性。
2. 仔细编辑应用程序清单文件中的 requiredResourceAccess 属性。
3. 从 resourceAppId 属性和 resourceAccess 属性中移除不需要的权限。
4. 保存所做的更改。

若要完成以下移除权限的步骤，需要以下资源和权限：

• 在你选择的工具中运行 HTTP 请求，例如，在你的应用中运行。
• 以至少为云应用程序管理员的身份或目标应用注册的所有者身份调用 API。
• 必须向用于进行这些更改的应用授予 Application.ReadWrite.All 权限。

1. 确定应用的权限。

2. 例如，若要阻止应用请求 Microsoft Graph 权限，请标识应用的 Microsoft Graph 权限、其权限 ID 以及它们是应用角色（应用程序权限）还是委托的权限。

3. 从应用中移除不需要的 Microsoft Graph 权限。 以下示例调用更新应用程序 API，从由样本客户端 ID 00001111-aaaa-2222-bbbb-3333cccc4444 标识的应用注册中移除不需要的 Microsoft Graph 权限。 在此示例中，应用程序具有 Analytics.Read、 User.Read 和 Application.Read.All。 我们需要删除 Analytics.Read 和 Application.Read.All 委托的权限和应用程序权限。 Microsoft Graph 被标识为 ServicePrincipal 对象，00000003-0000-0000-c000-000000000000 作为其全局唯一 AppId，Microsoft Graph 作为其 DisplayName 和 AppDisplayName。

   PATCH https://microsoftgraph.chinacloudapi.cn/v1.0/applications/00001111-aaaa-2222-bbbb-3333cccc4444
   Content-Type: application/json
   {
       "requiredResourceAccess": [
           {
               "resourceAppId": "00000003-0000-0000-c000-000000000000",
               "resourceAccess": [
                   {
                       "id": "311a71cc-e848-46a1-bdf8-97ff7156d8e6 ",
                       "type": "Scope"
                   }
               ]
           }
       ]
   }
   

如果需要从动态同意请求中删除委派权限，请在退出要删除的权限时指定范围参数。 移除权限可确保应用不会调用相应的 API。

此方法仅适用于委托的权限。 应用程序权限由管理员通过静态同意请求和授予，在 OAuth 2.0 授权请求期间不包括在范围参数中。

若要停止使用动态同意请求权限，请执行以下操作：

• 使用 Microsoft Graph：从`scopes`参数中移除不需要的 Microsoft Graph 委派权限。 在此示例中，应用程序会请求三个权限，Analytics.Read、User.Read 和 Application.Read。 此应用不再需要委托的权限 Analytics.Read 和应用程序权限 Application.Read。 它只需要 User.Read。

请求应类似于以下示例：

https://login.partner.microsoftonline.cn/common/oauth2/v2.0/authorize?client_id=00001111-aaaa-2222-bbbb-3333cccc4444&response_type=code&scope=User.Read

• 使用 MSAL.js：删除`scopes`中不需要的 Microsoft Graph 委托的权限。

      const Request = {
          scopes: ["openid", "profile"],
          loginHint: "example@domain.net"
      };
  
      myMSALObj.ssoSilent(Request)
          .then((response) => {
              // your logic
          }).catch(error => {
              console.error("Silent Error: " + error);
              if (error instanceof msal.InteractionRequiredAuthError) {
                  myMSALObj.loginRedirect(loginRequest);
              }
      });