Permisos de API: permisos delegados frente a permisos de aplicación, configuración de consentimiento de usuario, consentimiento del administrador y flujo de trabajo de consentimiento del administrador

Las aplicaciones que llaman a API como Microsoft Graph necesitan permisos, y Microsoft Entra ID usa el consentimiento para concederlos. Entender los dos tipos de permisos y quién puede dar su consentimiento a cada uno es una de las partes más evaluadas de SC-300, y también es un problema de seguridad real: los atacantes engañan a los usuarios para que den su consentimiento a aplicaciones maliciosas, un ataque llamado concesión de consentimiento ilícita (illicit consent grant).