在 AAD 中定义应用程序范围答案

【问题标题】：Defining application scopes in AAD在 AAD 中定义应用程序范围
【发布时间】：2019-07-11 16:41:03
【问题描述】：

似乎在 AAD 中定义应用程序范围有两种不同的机制：通过清单更新的 appRoles 和通过应用程序注册、公开 API 选项卡的 oauth2Permissions。第一个是唯一允许应用程序范围的（allowedMemberType：应用程序） - App Registrations 中的 API 权限选项卡似乎只允许委派的用户权限。我是否正确解释了这一点？看起来很混乱。

【问题讨论】：

标签： azure azure-active-directory

【解决方案1】：

appRoles 通过清单

我们可以通过清单定义用户角色和应用程序角色。我们可以在应用权限下看到应用角色。客户端凭据流使用应用程序权限。

我们无法在委派的用户权限下找到用户角色，因为这里没有使用这些角色。角色在企业应用选项卡下分配给特定用户，开发者需要为不同的角色授予不同的逻辑代码。

通过应用注册的 oauth2Permissions

我们只能在这里添加委托权限。此权限适用于所有用户，而不是特定用户。当用户登录时，系统会要求他们同意这些权限。

【讨论】：

抱歉，您是在重复我自己的声明：我知道通过 appRoles 我可以定义一个应用程序权限。令人困惑的是，该权限是作为可用委托权限的替代品公开的（根据上面的 ur sn-p），它不是通过 appRoles 而是通过 oauth2permissions 定义的。通过 appRoles 定义的用户角色根本不会通过可用权限 UI 公开，仅通过用户分配给企业应用程序中的应用程序。
@Marc 查看更新后的答案。希望这会说清楚。