今天工作中遇到一个问题，当使用非管理员登入到Graph Explorer上，身份验证的时候会提示：Calling principal cannot consent due to lack of permissions
我觉得这个可能是普通用户某些权限无法使用，例如Read and write all users' full profiles（需要全局管理员权限），因此会出现上面这个情况
经测试，即使使用了本机应用程序模式所创建的应用程序，也无法绕开这个问题（估计是微软为了安全起见）
后找到一篇国外的文章：
通过设置login的URL后面加上参数：&prompt=admin_consent，可以解决此问题。
使用全局管理员登入时候加上这个参数，会显示如下：（必须先使用全局管理员登入）
也就是说当全局管理员登入完之后，其他的用户也会如同管理员一样获得这些权限。
附上没有加&prompt=admin_consent参数的登入页面：
另外还需要注意的是，如果应用程序所使用的是多租户模式，还需要在&prompt=admin_consent参数之前再加一个参数：&state=multi
具体哪些权限需要全局管理员权限，可以参考：
https://msdn.microsoft.com/en-us/library/azure/ad/graph/howto/azure-ad-graph-api-permission-scopes
另外附上：
Graph Explorer Required Permission:
扫一扫
8万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
