Проверка подлинности Azure AD через REST в корпоративном приложении AAD

Я использую ADAL4j, чтобы попытаться аутентифицироваться в нашем экземпляре onprem sharepoint (который сам использует AAD для аутентификации в качестве корпоративного приложения) для аутентификации пользователей при входе через стандартный поток.

Я настроил свое потребительское приложение AAD так, чтобы ему требовалось разрешение на «доступ к {на корпоративном приложении sharepoint}». Затем я делаю запрос на URL-адрес, который выглядит так:

https://login.microsoftonline.com/{tenant}/oauth2/authorize?
                      response_type=code&scope=user_impersonation&
                      response_mode=form_post&
                      redirect_uri={uri that is registered in my app}&
                      client_id={my app id}&
                      resource={onprem sharepoint enterprise app id}&
                      state={GUID}&nonce={GUID}

Я получаю ответ 401 UNAUTHORIZED:

{
  "error": "invalid_client",
  "error_description": "Invalid audience Uri '{onprem sharepoint enterprise app id}'."
}  

Есть идеи о том, что здесь может быть не так? Мои поиски не увенчались успехом и, по логике вещей, мне кажется, что это должно сработать. Есть ли какие-то настройки на стороне корпоративного приложения, чтобы разрешить определенным клиентам доступ к ресурсу?

Спасибо за помощь!