Azure 如果没有分配给没有用户分配的应用程序，则 AD 限制用户登录

Question

我们想使用 Azure AD 作为我们项目的认证机制。 为此，在我们的组织 Azure AD 中，我为我们的项目注册了一个应用程序，添加了 SPA 重定向 URI。 使用添加用户/组将内部用户添加到同一企业应用程序中。 由于前端应用程序基于 React，我们使用 @azure/msal-react 进行身份验证，并使用 org AD tenatid 和 authConfig.js 文件中的相应 clientid，其中 scope 作为 User.Read。 在这里，我使用 loginRedirect 在加载应用程序时启动登录过程。

由于我们使用的是 org Azure AD，因此还有其他开发人员创建的其他应用程序。 我想限制其他内部用户登录访问此应用程序。 我试图使用需要的用户分配作为 Yes来实现这一点，但在那种情况下它要求我们不想要的“需要管理员批准”。 对于大型组织，全局管理员/应用程序管理员/云管理员将处于不同的时区，用户不应等待获得他们的批准。

那么有什么方法可以限制其他内部用户访问该应用程序并在尝试访问该应用程序时向他们显示未经授权的页面。 只有分配的用户才能登录到应用程序。

请建议。 如果您需要更多信息，请告诉我。 提前致谢。

Answer 1

要摆脱“需要管理员批准”屏幕，请按照以下步骤操作：

• 确保您具有“全局管理员角色”以更改 Azure 活动目录中的用户设置。
• Go 到 Azure 门户 -> Azure Active Directory -> Go 到企业应用程序 -> 单击用户设置 -> 管理员同意请求。 将“用户可以请求管理员同意他们无法同意的应用程序”设置为“否” 。

• 确保授予管理员同意您添加到应用程序所需的 api 权限。

• 授予它后，它应该像下面这样：

我已经在我的环境中尝试过，无需等待管理员批准就可以登录应用程序。

AFAIK ，限制其他内部用户访问该应用程序并在尝试访问该应用程序时向他们显示未经授权的页面尝试使用条件访问策略。

要详细了解如何执行此操作，请使用以下参考资料：

https://learn.microsoft.com/en-us/azure/active-directory/conditional-access/howto-conditional-access-policy-block-access#create-a-conditional-access-policy

c# - iOS 身份验证 Azure AD - 堆栈溢出。