Azure Entra SCIM 配置：为何无法在属性映射中选择groups属性？

需求可行性确认 #

Azure Entra（原Azure AD）不支持通过PATCH /users请求直接修改用户的groups属性，原因如下：

• 用户的组成员关系是通过组资源的成员管理API（如PATCH /groups/{groupId}/members/$ref）来维护的，而非直接修改用户实体的字段。
• RFC7643定义的groups属性在Entra中属于派生属性——它的值由用户的组隶属关系动态生成，仅支持读取（可通过GET /users/{userId}或GET /users/{userId}/memberOf获取），不允许通过PATCH用户接口修改。

属性映射中找不到groups的解决办法 #

groups属性不会出现在Entra的属性映射源属性下拉列表中，因为它并非用户实体存储的可编辑字段，而是动态计算的派生值。基于你的P1许可证，可通过以下两种方式满足需求：

• 直接读取组信息：使用Microsoft Graph API调用GET /users/{userId}/memberOf，获取用户所属的所有组集合，返回结果即为JSON格式的组数据。
• 自定义扩展属性同步：
  1. 创建一个用户自定义扩展属性（如extension_yourAppId_groups），用于存储组信息。
  2. 通过Power Automate或Azure Function编写逻辑，当用户的组成员关系发生变化时，自动将组信息同步到这个自定义属性中。
  3. 之后即可在属性映射的源属性下拉列表中找到这个自定义属性，用于后续的同步或展示需求。

内容的提问来源于stack exchange，提问作者Powerslave