如何通过Graph API获取Active Directory组织单元及用户组内组织单元集合

云原生阿岚

2026-7-1

获取特定用户所属组的组织单元集合的方法

目前Microsoft Graph没有提供单一API直接获取特定用户所属每个组对应的组织单元集合，需要通过以下两步实现：

步骤1：获取用户所属的所有组
使用Graph API调用：
```
GET /users/{user-id}/memberOf/microsoft.graph.group
```
该请求会返回用户所属的所有组资源，重点关注id和onPremisesDistinguishedName属性（仅适用于从本地AD同步到Azure AD的组）。
步骤2：提取组关联的组织单元信息
对于每个返回的组，若存在onPremisesDistinguishedName属性，该字段值是类似CN=销售部组,OU=销售中心,DC=contoso,DC=com的LDAP识别名，其中OU=开头的部分即为组所在的组织单元路径，可通过字符串解析提取这部分内容。
注意：云原生组（未从本地AD同步的组）没有onPremisesDistinguishedName属性，这类组本身不关联本地组织单元。