使用Graph Explorer/Postman生成访问令牌列出组成员：权限不足问题求助

核心权限要求 #

读取组内用户列表，需根据使用场景配置以下权限之一：

• 委派权限（用户交互场景，如Graph Explorer/个人Postman请求）：GroupMember.Read.All 或 Group.Read.All
• 应用权限（后台服务场景，无用户交互）：GroupMember.Read.All

注意：上述权限均需管理员同意，普通用户无法自行授权，需由Azure AD全局管理员或权限管理员完成操作。

Graph Explorer 解决步骤 #

1. 打开Graph Explorer并登录你的Azure账号，点击右上角「Sign in with Microsoft」完成登录。
2. 点击顶部导航栏的「Modify permissions」按钮，进入权限管理界面。
3. 在权限列表中搜索并勾选 GroupMember.Read.All 或 Group.Read.All，点击「Consent」提交授权请求。
4. 管理员同意后（若自身为管理员则直接完成），刷新Graph Explorer页面，重新发起请求 GET /groups/{group-id}/members 即可。

Postman 解决步骤 #

第一步：Azure AD注册应用并配置权限 #

1. 登录Azure门户，进入「Azure Active Directory」→「应用注册」→「新注册」，填写应用名称，选择账户类型（如「仅限本组织目录中的账户」）完成注册。
2. 进入已注册应用的「API权限」页面，点击「添加权限」→「Microsoft Graph」→「委派权限」，搜索并添加 GroupMember.Read.All 或 Group.Read.All。
3. 点击「授予管理员同意」按钮，完成权限全局授权（需管理员权限）。
4. 在应用的「证书和密码」页面，新建客户端密码并复制保存（仅显示一次）。

第二步：Postman配置OAuth2.0获取令牌并发起请求 #

1. 新建Postman请求，方法设为GET，URL填写 https://graph.microsoft.com/v1.0/groups/{group-id}/members。
2. 切换到「Authorization」标签页，选择类型为「OAuth 2.0」，配置参数：
   • Token请求URL：https://login.microsoftonline.com/{你的租户ID}/oauth2/v2.0/token
   • 客户端ID：填写应用注册页面的「客户端ID」
   • 客户端密钥：填写新建的客户端密码
   • 作用域：输入 https://graph.microsoft.com/GroupMember.Read.All offline_access
   • 授权类型：选择「Authorization Code」（需用户登录，对应委派权限）或「Client Credentials」（无需登录，对应应用权限）
3. 点击「Get New Access Token」，获取成功后点击「Use Token」，发送请求即可。

常见排查点 #

• 确认权限已完成管理员同意：检查Azure AD应用「API权限」页面中，目标权限的「状态」是否为「已授予 {租户名} 同意」。
• 验证令牌权限：将访问令牌复制到jwt.ms解码，查看scp（委派权限）或roles（应用权限）字段是否包含目标权限。
• 确认组访问权限：确保你的账号是目标组的成员，或拥有该组的读取权限（如目录读取者角色）。

内容的提问来源于stack exchange，提问作者David