azure - 用于将成员添加到组的 Microsoft Azure AD Graph API

Question

尝试使用 Microsoft graph API 将成员添加到组中，能够将成员添加到应用程序所有者所属的组中，但不能添加到其他成员创建的组中。

当我尝试向群组添加成员且应用程序所有者不是该群组的所有者时，我收到以下错误

{
    "error": {
        "code": "Authorization_RequestDenied",
        "message": "Insufficient privileges to complete the operation.",
        "innerError": {
            "request-id": "2c5a99ff-70XXXXXXXXXXXXXXXXX",
            "date": "2X-XX-XXXX 23:42:54"
        }
    }
}

These are the permissions given to the App API

有人可以帮助我了解如何使用 Azure 将成员添加到组吗？只有群主才能添加成员到群吗？应用程序是否需要启用任何配置才能让应用程序所有者将成员添加到任何组？

Answer 1

如果您使用委托(delegate)权限，则 token 的有效权限将是应用程序和用户的权限组合。 如果用户没有必要的角色/所有权，那么您的应用程序也无法执行此操作。

如果您的应用需要使用比用户拥有的更多权限，则您需要使用应用程序权限而不是委派权限。 要使用应用程序权限，您的应用程序后端必须使用客户端凭据流程获取 token ，该流程不涉及用户。 在这种情况下，只有应用程序的应用程序权限很重要，委派的权限将不起作用。