Azure App Configuration
Ein Azure-Dienst, der gehosteten, universellen Speicher für Konfigurationen von Azure-Apps bereitstellt.
Microsoft Entra ID OAuth Workflow – Unerwartete Berechtigung im Client Credentials Flow
![](data:image/svg+xml, %3Csvg xmlns='http://www.w3.org/2000/svg' height='64' class='font-weight-bold' style='font: 600 30.11764705882353px "SegoeUI", Arial' width='64'%3E%3Ccircle fill='hsl(6.4, 82%, 10%)' cx='32' cy='32' r='32' /%3E%3Ctext x='50%25' y='55%25' dominant-baseline='middle' text-anchor='middle' fill='%23FFF' %3ET%3C/text%3E%3C/svg%3E)
Tsa
0
Zuverlässigkeitspunkte
Hallo zusammen,
ich habe eine Frage zum OAuth-Workflow in Microsoft Entra ID.
Konkret geht es um den Client Credentials Flow. Dabei ist mir aufgefallen, dass im Zuge der Authentifizierung (Admin Consent Dialog) die Berechtigung „Sign in and read user profile“ angefordert wird – obwohl diese in Entra ID → App registrations → API permissions für die betreffende Anwendung nicht konfiguriert ist.
Nach meinem Verständnis sollte der Client Credentials Flow ja ohne Benutzerkontext funktionieren und somit keine delegierten Berechtigungen wie „Sign in and read user profile“ benötigen.
Daher meine Frage: Warum wird diese Berechtigung trotzdem angefordert?
Vielen Dank vorab für eure Hilfe!
Azure App Configuration
-
![](data:image/svg+xml, %3Csvg xmlns='http://www.w3.org/2000/svg' height='64' class='font-weight-bold' style='font: 600 30.11764705882353px "SegoeUI", Arial' width='64'%3E%3Ccircle fill='hsl(201.6, 99%, 29%)' cx='32' cy='32' r='32' /%3E%3Ctext x='50%25' y='55%25' dominant-baseline='middle' text-anchor='middle' fill='%23FFF' %3ER%3C/text%3E%3C/svg%3E)
Rukmini 43,995 Zuverlässigkeitspunkte Externe Microsoft-Mitarbeiter Moderator2026-04-15T06:46:49.7333333+00:00 Hallo Tsa
Der Client-Credentials-Flow verwendet keine delegierten Berechtigungen.
Die angezeigte Berechtigung „Anmelden und Benutzerprofil lesen“ ist wahrscheinlich eine standardmäßige delegierte Berechtigung, die automatisch von Azure AD hinzugefügt wird.
Sie hat keine Auswirkungen auf Ihr Token oder Ihren Flow; es sind nur Anwendungsberechtigungen wirksam.
Sie können diese Berechtigung bedenkenlos aus den API-Berechtigungen entfernen, um den Dialog zur Administratorzustimmung zu bereinigen.
Ich übersetze ins Englische, bitte entschuldigen Sie eventuelle Fehler!
Melden Sie sich gerne, falls Sie weitere Fragen haben!
-
Tsa 0 Zuverlässigkeitspunkte
2026-04-15T07:05:41.03+00:00 Vielen Dank für die Antwort. Die Berechtigung User.Read habe ich bereits vor einiger Zeit aus den API-Berechtigungen entfernt. Dennoch wird sie im Dialog zur Administratorzustimmung weiterhin angezeigt.
Offenbar wird diese Berechtigung von Microsoft automatisch im Zustimmungsdialog eingeblendet, was etwas verwirrend ist.
-
Rukmini 43,995 Zuverlässigkeitspunkte Externe Microsoft-Mitarbeiter Moderator
2026-04-30T02:27:02.4733333+00:00 Hallo Tsa
Ich habe es in meiner Umgebung getestet und der Microsoft Entra ID-Anwendung keine Berechtigungen hinzugefügt:
Das Zugriffstoken wurde nun mithilfe des Client-Credential-Flows generiert und war erfolgreich:
Melden Sie sich gerne, falls Sie weitere Fragen haben!
Zum Kommentieren anmelden
Anmelden, um zu antworten