为应用注册添加Global Reader角色遇阻：查询结果Count为0

一、查询Global Reader角色count为0的原因 #

Global Reader角色默认处于未激活状态，而你调用的graphServiceClient.DirectoryRoles.GetAsync()只能返回已经激活的目录角色，未激活的角色不会出现在这个接口的返回结果里——哪怕你用正确的roleTemplateId过滤，也查不到任何数据。

二、解决方法：先激活角色再查询 #

要获取Global Reader角色实例，得先确认该角色是否已激活，如果未激活，先调用Graph接口激活它，之后就能正常查询到了。调整后的代码示例：

// 1. 获取Global Reader的角色模板
var roleTemplates = await graphServiceClient.DirectoryRoleTemplates.GetAsync();
var globalReaderTemplate = roleTemplates.Value!.FirstOrDefault(t => t.DisplayName == "Global Reader");
if (globalReaderTemplate == null)
{
    // 处理模板不存在的极端情况（理论上不会发生）
    return;
}

// 2. 检查角色是否已激活
var existingRole = await graphServiceClient.DirectoryRoles.GetAsync(requestConfig =>
{
    requestConfig.QueryParameters.Filter = $"roleTemplateId eq '{globalReaderTemplate.Id}'";
});

DirectoryRole? globalReaderRole = existingRole.Value?.FirstOrDefault();

// 3. 如果未激活，执行激活操作
if (globalReaderRole == null)
{
    var activateRequest = new DirectoryRole
    {
        RoleTemplateId = globalReaderTemplate.Id
    };
    globalReaderRole = await graphServiceClient.DirectoryRoles.PostAsync(activateRequest);
}

// 此时globalReaderRole就是激活后的Global Reader角色实例

三、关于DirectoryRoles.GetAsync()仅返回已激活角色的原因 #

这是Microsoft Graph的设计规则：DirectoryRoles端点只暴露已经被激活的目录角色。激活的触发条件包括：

• 该角色被分配给了至少一个用户/服务主体
• 通过API显式创建该角色的实例（即上面代码中的激活操作）

未激活的角色模板需要从DirectoryRoleTemplates端点获取，这个端点包含Azure AD中所有可用的内置角色模板，无论是否被激活。

内容的提问来源于stack exchange，提问作者baswijdenesdotcom