使用Terraform添加Azure AD组成员时遇权限不足错误

所需的最小Microsoft Graph权限 #

要完成将SystemAssigned托管标识添加到现有Azure AD组的操作，流水线服务主体仅需以下应用权限（必须是Application类型，而非Delegated类型）：

• GroupMember.ReadWrite.All：核心权限，允许服务主体向任意现有Azure AD组添加/移除成员。
• 可选补充：Directory.Read.All（应用权限），若Terraform配置中用data.azuread_group查询目标组信息，需此权限读取组基础数据。

如果服务主体是目标Azure AD组的所有者，也可替代使用Group.ReadWrite.OwnedBy（应用权限），但该权限仅对服务主体拥有的组生效，通用性弱于前者。

现有权限不生效的原因 #

当前配置的权限存在两个关键问题：

1. 部分权限为委派权限（如Directory.AccessAsUser.All），这类权限仅适用于用户交互场景，后台运行的服务主体无法使用。
2. Group.ReadWrite.All若配置为委派权限而非应用权限，服务主体无法用它执行组成员管理；即便为应用权限，GroupMember.ReadWrite.All是更精准的最小权限，范围更小更安全。
3. Application.ReadWrite.OwnedBy仅用于管理服务主体自身拥有的应用资源，和组成员管理无关。

权限配置验证步骤 #

1. 登录Azure门户，进入目标服务主体的「应用注册」页面。
2. 在「API权限」菜单中，删除无关的委派权限，确认GroupMember.ReadWrite.All（及可选的Directory.Read.All）为应用权限类型。
3. 点击「授予管理员同意」按钮，确保权限生效。
4. 检查是否有Azure AD条件访问策略限制了服务主体对Microsoft Graph的访问。

内容的提问来源于stack exchange，提问作者user24363215