如何在C# Azure Function中实现Grant-PnPAzureADAppSitePermission功能

这个PowerShell命令的核心是给Azure AD应用注册分配SharePoint站点的指定权限，以下是两种在.NET Azure Function中实现该功能的方案：

方案一：使用Microsoft Graph API（推荐） #

Graph API是微软推荐的云原生操作接口，适配Azure Function的托管身份场景，无需存储密码。

前置准备 #

1. 安装NuGet包：Microsoft.Graph、Azure.Identity
2. 给Azure Function的托管身份授予Microsoft Graph的应用权限：根据需求选择Sites.FullControl.All、Sites.ReadWrite.All或Sites.Read.All，并完成管理员同意。

代码示例 #

using Microsoft.Graph;
using Azure.Identity;
using System.Collections.Generic;

public async Task GrantSitePermissionViaGraph(string siteId, string targetAppId, string permissionRole)
{
    // 用托管身份初始化Graph客户端（自动适配Azure Function环境）
    var graphClient = new GraphServiceClient(new DefaultAzureCredential());

    // 查询目标权限角色（比如"FullControl"、"Edit"、"Read"）
    var roleQuery = await graphClient.Sites[siteId].PermissionRoles
        .Request()
        .Filter($"displayName eq '{permissionRole}'")
        .GetAsync();

    if (roleQuery.Count == 0)
        throw new System.Exception($"未找到指定权限角色: {permissionRole}");

    // 构建权限分配对象
    var newPermission = new Permission
    {
        Roles = new List<string> { permissionRole },
        GrantedToIdentities = new List<IdentitySet>
        {
            new IdentitySet
            {
                Application = new Identity
                {
                    Id = targetAppId
                }
            }
        }
    };

    // 提交权限分配请求
    await graphClient.Sites[siteId].Permissions
        .Request()
        .AddAsync(newPermission);
}

说明：siteId可以是站点的GUID组合格式（如contoso.sharepoint.com,abc123-def,ghi456），也可以用sites/{hostname}:/{serverRelativePath}的形式直接指定站点路径。

方案二：使用SharePoint CSOM（与PnP PowerShell底层逻辑一致） #

如果需要和PnP命令的行为完全对齐，可以使用SharePoint CSOM，搭配PnP Framework简化操作。

前置准备 #

1. 安装NuGet包：PnP.Framework、Microsoft.SharePointOnline.CSOM
2. 给托管身份授予SharePoint站点的对应权限（或使用应用密码认证）

代码示例 #

using PnP.Framework;
using Microsoft.SharePoint.Client;

public async Task GrantSitePermissionViaCSOM(string siteUrl, string targetAppId, string permissionRole)
{
    // 用托管身份初始化PnP上下文
    using (var context = new PnPContext(new System.Uri(siteUrl), new Azure.Identity.DefaultAzureCredential()))
    {
        // 获取目标权限角色定义
        var roleDef = context.Web.RoleDefinitions.GetByName(permissionRole);

        // 获取Azure AD应用的站点用户主体（格式为i:0i.t|00000003-0000-0ff1-ce00-000000000000|{appId}）
        var appUser = context.Web.EnsureUser($"i:0i.t|00000003-0000-0ff1-ce00-000000000000|{targetAppId}");
        await context.LoadAsync(appUser);

        // 创建角色绑定并添加权限
        var roleBinding = new RoleDefinitionBindingCollection(context);
        roleBinding.Add(roleDef);
        context.Web.RoleAssignments.Add(appUser, roleBinding);

        await context.ExecuteAsync();
    }
}

关键注意事项 #

• 权限粒度：根据实际需求选择最小权限，避免过度授权
• 错误处理：需添加异常捕获，处理权限不足、站点/应用不存在等场景
• 托管身份验证：Azure Function中使用DefaultAzureCredential会自动优先使用托管身份，无需额外配置连接字符串

内容的提问来源于stack exchange，提问作者Explorer