增量预配周期下应用范围筛选器评估错误问题咨询

针对你遇到的「用户退出安全组后扩展属性设为null，但Azure AD预配仍未取消应用权限」的问题，以下是常见原因和对应的解决步骤：

1. 预配服务缓存未刷新 #

Azure AD预配服务默认会缓存用户属性，增量同步时可能不会立刻拉取最新的扩展属性值，导致预配周期读取的还是旧的true值。

• 解决：在企业应用的预配页面手动触发完全同步，强制预配服务重新获取所有用户的最新属性。操作路径：企业应用 → 目标应用 → 预配 → 点击「启动完全同步」。

2. 范围筛选器逻辑不兼容null值 #

如果你的范围筛选器仅设置为extension_xxx_KeeperUser Equals true，当属性变为null时，这个条件的评估结果并不是「不满足」——因为null既不等于true也不等于false，预配引擎可能会将这类用户判定为仍符合筛选条件，直接跳过取消预配的操作。

• 解决：修改筛选器逻辑，明确排除属性为null的用户。比如把筛选条件改成：

  extension_xxx_KeeperUser Not Equals null AND extension_xxx_KeeperUser Equals true
  

  （请替换extension_xxx_KeeperUser为你实际使用的扩展属性名称）

3. 多组预配的逻辑合并问题 #

你提到自己属于其他已预配到该应用的组，Azure AD预配如果配置了多个组作为范围，默认会用逻辑或来合并筛选规则——只要用户满足任意一个组的预配条件，就会保留应用权限。

• 解决：检查应用的预配范围设置，确认是否同时勾选了多个组。如果需要用户必须属于所有相关组才保留权限，需要调整筛选逻辑为逻辑与（默认多组是逻辑或，可能需要通过自定义筛选器实现）。

4. 扩展属性的实际值不符合预期 #

虽然你验证属性是null，但有可能函数设置的是空字符串而非真正的null，或者Azure AD对扩展属性的null存储有特殊处理，导致预配引擎读取的不是预期值。

• 解决：用Graph API查询用户的扩展属性，确认实际存储值：

  Get-MgUser -UserId "你的用户ID" -Property "extension_xxx_KeeperUser"
  

  如果实际是空字符串，修改函数代码，确保设置属性为null而非空字符串。

额外排查步骤 #

• 查看预配日志的详细记录，找到被跳过的用户条目，查看日志中显示的扩展属性值，确认预配引擎读取的是不是旧值。
• 检查函数应用的执行日志，确认移除用户时，确实成功向Azure AD发送了设置属性为null的请求（返回200/204状态码）。

内容的提问来源于stack exchange，提问作者Anil