問題Group.ReadWrite.All權限範圍

Question

我玩微軟Graph Group.ReadWrite.All委託範圍。 Azure AD App配置有此權限。

由於它是一個委託權限，授予該應用程序的權限將是該範圍授予的權限與登錄用戶擁有的權限中權限最小的組合（交集）。

在管理員同意該應用後，我使用了普通用戶憑證並檢索了令牌。使用此令牌，即使用戶不是該私人組中的管理員，我也可以更新私人Office 365組的成員。

此行爲似乎不正確。請澄清。

Answer 1

因此，當您使用委託權限時，應用程序與登錄用戶具有相同的權限，並受到授予應用程序權限的進一步限制。在這種情況下，您對權限的交集是正確的 - 允許應用程序更新私人組的成員身份，但前提是登錄用戶能夠更新私人組的成員身份。在這種情況下，如果用戶不是該組的管理員，那麼應用程序不應該能夠通過API更新組成員身份（在此登錄用戶的上下文中）。

更新： 我能夠重現這一點。目前（通過API）私人成員可以將其他成員添加到該組。我懷疑你的測試用戶是該組的成員。 （非會員不能將成員添加到私人團體。）目前，我們正在爲此問題修復此問題。

希望這會有所幫助，