Microsoft Graph范围“ Domain.ReadWrite.All”

Question

为什么我不能为以下网址设置范围Domain.ReadWrite.All：

https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id=MY_APP_ID&response_type=code&state=12345&response_mode=query&redirect_uri=https%3A%2F%2Flocalhost%3A44331%2F&scope=domain.readwrite.all

不起作用。

https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id=MY_APP_ID&response_type=code&state=12345&response_mode=query&redirect_uri=https%3A%2F%2Flocalhost%3A44331%2F&scope=user.read

有效。 它也适用于directory.readwrite.all和其他任何语言，但不适用于domain.readwrite.all。为什么这样？

Answer 1

Domain.ReadWrite.All是一个应用程序范围（客户端证书流，也称为仅应用程序），您正在尝试在委派的身份验证流中让用户同意该范围。

要使用Domain.ReadWrite.All，您需要使用管理员同意端点进行管理员同意，如下所示：

  

获取https://login.microsoftonline.com/ {tenant} / adminconsent       ？client_id = 6731de76-14a6-49ae-97bc-6eba6914391e       ＆state = 12345       ＆redirect_uri = https://localhost/myapp/permissions

已编辑：已更新为domain.readwrite.all