Azure AD管理员如何在不征得管理员同意的情况下向某些用户授予本地应用程序的权限？

Question

假设我是一个Azure AD管理员，他想控制哪些用户可以访问在我的租户中创建的某个应用程序（该应用程序是本地的）。

当我阅读here时，以下内容：

  

在Azure Active Directory（Azure AD）租户中注册的应用程序   默认情况下，可供所有进行身份验证的租户用户使用   成功。

我倾向于认为我不必做任何特别的事情，但事实并非如此。

我做了什么？

我要做的第一件事是禁用租户中的用户同意第三方应用程序的功能。为此，我转到“企业应用程序”，然后转到“用户设置”，然后关闭同意设置，如下所示。

我相信这是为了确保租户中的用户不能访问任何随机的第三方应用程序。

接下来，我在Azure AD中创建了一个应用程序。该应用程序显示在“企业应用程序”列表中。

我选择刚创建的应用程序，然后转到“属性”，然后将“需要用户分配”设置为“是”。

此后，我进入“概述”并向用户（在本例中为Gaurav）授予明确的权限，如下所示。

我还可以看到已授予两个用户对该应用程序的访问权限。

预期行为

完成所有这些设置后，我希望该用户（Gaurav）应该能够登录该应用程序。

实际行为（我面临的问题）

但是，当此用户尝试连接到此应用程序时，从用户收到需要管理员同意的消息的意义上说，它不起作用。

我该如何避免遇到的问题？我很确定必须忽略一些设置。

请注意：

• 我创建的应用程序对我正在管理的租户而言是本地的。
• 这是一个本地应用程序，默认情况下为多租户，但是我更改了该应用程序的清单，并将其设置为单租户。
• 作为管理员，我不想征得“管理员同意”，因为据我了解，如果我这样做，则所有用户都可以访问该应用程序，而我只希望某些用户可以访问该应用程序。而且，作为管理员，我真的不想登录该应用程序。

Answer 1

即使您获得管理员同意，只有您分配的用户才能访问。 因为您需要分配作业。

管理员同意意味着不会要求任何用户同意该应用程序所需的权限。