通过PowerShell添加托管标识为AAD组所有者时遇404错误求助

核心问题 #

你用Add-PnPMicrosoft365GroupMember尝试添加托管标识到AAD组时出现404错误，根源有两点：

1. 该cmdlet默认仅检索用户对象，而托管标识属于服务主体，不在用户目录范围内，直接传GUID会找不到资源。
2. 你的需求是添加为组所有者，但误用了添加成员的cmdlet（Add-PnPMicrosoft365GroupMember用于添加成员，添加所有者需用Add-PnPMicrosoft365GroupOwner）。

解决方案 #

方法1：使用PnP PowerShell正确添加所有者 #

先确认托管标识的服务主体存在，再将其添加为组所有者：

# 获取托管标识对应的服务主体对象
$managedIdentitySP = Get-PnPServicePrincipal -Identity $guidOfMyManagedIdentityServicePrincipal

# 将服务主体添加为AAD组的所有者
Add-PnPMicrosoft365GroupOwner -Identity $aadGroupId -Users $managedIdentitySP.Id

方法2：使用AzureAD PowerShell模块（更直接） #

如果你的环境已安装AzureAD模块，可直接执行以下命令添加所有者：

Add-AzureADGroupOwner -ObjectId $aadGroupId -RefObjectId $guidOfMyManagedIdentityServicePrincipal

额外检查项 #

• 确保执行PowerShell的账号拥有组所有者管理权限，以及读取服务主体的权限。
• 确认传入的$guidOfMyManagedIdentityServicePrincipal是托管标识的Object ID（而非应用ID），浏览器操作会自动识别类型，但PowerShell需要精准匹配。

内容的提问来源于stack exchange，提问作者KEM