Oauth 2.0 当需要启用用户分配时，需要什么API权限？在Azure AD企业应用程序中

如果在Azure portal中，我将

企业应用程序>属性>所需的用户分配？

设置为

否

，则身份验证工作正常。但是，如果我打开它，用户会得到错误

应用程序需要权限才能访问组织中只有管理员才能授予的资源。我知道我需要向我的应用程序添加API权限，但它是什么

有趣的是，如果用户以前登录过该应用程序，那么打开该选项时不会受到影响。只有从未使用过它的用户才会受到影响

编辑：为了澄清，我已经创建了应用程序角色。没有应用程序角色的用户无法按预期登录。在选项变为“是”后首次登录的具有应用程序角色的用户会出现上述错误
最后，我用下面的请求URL重现您的问题，范围也可能是另一个问题，例如
https://storage.azure.com/.default
，已添加到广告应用程序的
API权限中

https://login.microsoftonline.com/<tenant0id>/oauth2/v2.0/authorize?
client_id=xxxxxxx
&response_type=code
&redirect_uri=http://localhost
&response_mode=query
&scope=https://management.azure.com/.default
&state=12345

https://login.microsoftonline.com//oauth2/v2.0/authorize?
客户id=xxxxxxx
&响应类型=代码
&重定向\u uri=http://localhost
&响应模式=查询
&范围=https://management.azure.com/.default
&州=12345


如果所需的
用户分配
设置为
是
，我注意到它不会促使用户同意权限。（例如，
Azure服务管理
API中的
user\u模拟
）

要解决此问题，我们需要获得应用程序的管理员许可，只需导航到
API权限
，单击
授予xxx管理员许可
按钮，即可正常工作

您好，我需要和管理员谈谈这件事，这需要一段时间您好，这个问题有什么更新吗？