Azure AD如何限制应用程序获取用户的电子邮件地址？

Question

我已经设置了一个Azure活动目录APP，以便它使用以下端点来记录用户：

1. https://login.microsoftonline.com/TenanId/oauth2/authorize
2. https://login.microsoftonline.com/TenanId/oauth2/token

我已经授予了Microsoft Graph API的权限，但我提供的所有内容都是＆＃34;签署用户＆＃34;在“启用访问”部分中。 我试图找出是否可以从登录过程中检索除了不可变id之外的任何内容。 查看权限似乎在我授予登录权限的那一刻，我也授予了访问我的用户详细信息的权限。是否可以设置它以便我只授予登录权限但不使用此版本检索任何用户详细信息？

Answer 1

  

是否可以进行此设置，以便我只授予登录权限   但是没有使用此版本检索任何用户详细信息？

这是不可能的。

当您授予用户登录权限时，它还可以让应用程序读取用户个人资料。 The permission显示字符串为Sign-in and read user profile，其名称为User.Read。

  

Decription：允许用户登录该应用，并允许该应用   阅读已登录用户的个人资料。它还允许应用程序阅读   登录用户的基本公司信息。

<强>为什么：

基于Oauth / ODIC，当您使用AAD帐户登录您的应用程序（通过AAD验证/授权您的应用程序）时，您可以使用AAD帐户登录，它必须需要读取用户配置文件。否则，您的应用无法知道用户是谁，也无法进行身份验证/授权。 这是您的应用在允许用户登录时需要的基本权限。