管理者への許可が必要なAPIを利用する場合、最初に対象テナントの管理者から承認を得る必要があります。
承認を得る実際の作業としては、対象テナントの管理者アカウントで固定のURLにアクセスし、承認ボタンを押します。
具体的な説明は以下のサイトを参考にしてください。
https://blogs.msdn.microsoft.com/tsmatsuz/2016/10/07/application-permission-with-v2-endpoint-and-microsoft-graph/
上記の内容にある
https://login.microsoftonline.com/{tenant name}/adminconsent?client_id={application id}&state={some state data}&redirect_uri={redirect uri}
が、対象URLになります。
但し、私が試した場合上記URL自体へのアクセスが失敗したため、以下の説明に従い{tenant name}を"common"に変更したところ、成功しました。
https://stackoverflow.com/a/32529128/1411521
なお、この承認作業は最初の一度だけで良いですが、アプリケーションのアクセス許可の設定を変更する際は、その都度やり直す必要があります。