未經授權的應用程序能夠獲得Azure中用戶的訪問權限圖API

Question

我們已經在 Azure AD 中注冊了新的應用程序，使用 clientid 和客戶端密碼登錄並檢查其他用戶詳細信息，但現在我們刪除了 clientid 的所有權限並使用 postman 以及應用程序進行檢查，但它仍然登錄到應用程序並能夠獲得其他用戶詳細信息使用https://graph.microsoft.com/v1.0/users作為用戶， https://login.microsoftonline.com/{tenantId}/oauth2/v2.0/token作為令牌。 問題是當所有權限都已被撤銷時，用戶如何獲得訪問權限？

Answer 1

即使您撤銷了所有權限，請嘗試將signInSessionsValidFromDateTime用戶屬性重置為current date-time 。

這必須由用戶或管理員執行。

通過這樣做，它會刪除存儲在用戶瀏覽器中的所有session cookies ，從而刪除為用戶頒發給應用程序的所有刷新令牌。

請確保擁有User.ReadWrite.All、Directory.ReadWrite.All權限。

要從Microsoft graph explorer 撤銷登錄會話，請嘗試使用以下查詢，

POST https://graph.microsoft.com/v1.0/me/revokeSignInSessions     (Or) 

POST https://graph.microsoft.com/v1.0/users/{user_id}/revokeSignInSessions

調用 revokeSignInSessions 后，在令牌被撤銷之前可能會有幾分鍾的小延遲。

如果有幫助，請找到以下鏈接。

參考：

用戶：revokeSignInSessions - Microsoft Docs

用戶從我的應用程序門戶撤消權限后，應用程序仍然可以通過 Microsoft Graph API 獲取數據