问正在移动租户，但保留当前Azure AD中的API /App

EN

是。这是可能的。但如果你有很多应用程序，就会有很多工作要做。

首先，确保你所有的应用程序接口和应用程序都是multi-tenant的。

其次，您可以使用Powershell cmd New-AzureRmADServicePrincipal -ApplicationId "{client id of your api application}"将应用程序接口应用程序作为企业应用程序添加到新租户中。

然后，您需要针对新租户为(旧租户的)应用程序执行admin consent。

我假设您的应用程序已在tenant_x中注册，并希望将其添加到tenant_y中。

您可以将用户重定向到Microsoft identity platform管理员同意端点。

GET https://login.microsoftonline.com/{tenant_y}/v2.0/adminconsent?
  client_id={client id of the app in tenant_x}
  &state=12345
  &redirect_uri={redirect_uri of the app in tenant_x}
  &scope=https://graph.microsoft.com/.default

使用tenant_y管理员帐号登录，完成管理员同意。

请注意，对于scope，您不能使用api://{client id of api app}/.default，因为它会告诉您该应用程序在tenant_y中不存在。

虽然我们对scope使用https://graph.microsoft.com/.default，但当您进行管理员同意时，它也会显示对api应用的权限。所以不用担心。

完成后，该应用在tenant_x中的企业应用会出现在tenant_y中，拥有所有的接口权限。