テナントAに登録されたアプリケーションを許可する管理者のテナントBのグラフへのアクセス

Question

私のアプリケーションはtenant Aに登録されており、Microsoft Graphの許可Invite guest users to the organizationが必要です。アプリケーションは、GUIのない​​APIアプリです。

は Tenant Aにアプリケーションに Graphアクセス権を与えるにはI次の操作を行います。
1.完了 tenant A

のための管理者の資格情報を使用してログイン
に - 私のtenant AでService Principalは今Invite guest users to the organization権限を持ってい

これまでのところとても良いです。今度は同じアプリケーションにゲストユーザーを招待するアクセスをtenant Bにしたいと思います。それ、どうやったら出来るの？

私は前と同じ流れを試してみた

：管理者の資格情報を使用して
1.
にログインtenant B

のためにこれは、結果、次のエラーメッセージ

AADSTS50020 ：アイデンティティプロバイダ 'yyy.com'からのユーザアカウント 'xxx@yyy.com'がテナント 'テナントA'に存在せず、そのテナントの 'xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx'アプリケーションにアクセスすることができません。テナントで最初に外部ユーザーとしてアカウントを追加する必要があります。サインアウトし、別のAzure Active Directoryユーザーアカウントで再度サインインします。

このアクションは、私がTenant Bから管理者の資格情報を使用してログインしていてもTenant Aにアプリケーションに必要な権限を付与しようとしているようです。

Tenant Bにアプリケーションに必要な権限を与えるにはどうすればよいですか？自分のアプリケーションでグローバルApplication IDの代わりにService Principal ID（Tenant B）の管理者同意フローを使用できますか？

Answer 1

問題が見つかりました。

tenant Bの承諾のために使用しようとした管理者アカウントは、以前はゲストアカウントとしてtenant Aに招待されていました。ゲストアカウントはその後tenant Aから削除されましたが、管理者同意の流れを乱すような接続が残っているようです。

tenant Bに新しい管理者アカウントを作成し、同意するために新しいアカウント（履歴は全くありません。tenant A）を使用したところ、期待どおりに機能しました。