如何让外部服务仅获取Entra ID指定组用户的邮箱？

方法1：优化GroupMember.Read.All权限的查询方式 #

你不需要额外添加User.ReadBasic.All权限，只需保留GroupMember.Read.All应用权限，然后在调用Microsoft Graph API时，通过指定$select参数精准获取邮箱属性：

• 针对单个组：调用 GET /groups/{group-id}/members?$select=mail
• 针对多个组：可分别调用每个组的成员接口，或用批量请求合并结果

核心逻辑：GroupMember.Read.All权限本身允许读取组成员的核心属性（包括mail），默认返回的属性集不包含邮箱，通过$select显式指定后就能获取到，无需授予全租户用户访问权限。

方法2：使用基于资源的同意限制应用访问范围 #

如果需要更严格的权限隔离，可通过基于资源的同意让应用仅能访问指定的两个组：

1. 在Entra ID中找到目标组，进入「权限」>「添加应用权限」
2. 选择你的注册应用，添加GroupMember.Read.All权限（注意是针对该组的资源级权限，而非租户级）
3. 应用调用API时直接针对这两个组的ID查询，此时应用无法访问其他组的成员

替代方案：静态导出组用户列表（非API方式） #

如果外部服务不需要实时数据，可采用非API方案：

• 定期在Entra ID中导出这两个组的成员列表（仅保留邮箱字段）
• 通过加密FTP、内部安全共享平台等方式提供给外部服务
• 适合数据更新频率低、对实时性要求不高的场景

内容的提问来源于stack exchange，提问作者greentea