Azure AD中已注册应用自定义角色无法在用户/组分配面板正常显示问题求助

根据你描述的情况——注册应用里配置了两个启用的用户/组角色，但企业应用的分配面板只显示第一个（还呈灰色）、第二个完全不出现，我碰到过不少类似的案例，大概率是下面几个原因之一，你可以按顺序排查：

1. 应用角色的「允许成员类型」配置有误 #

虽然你说设置了允许用户/组，但有时候UI操作可能有疏漏，或者manifest里的配置没跟上。你可以：

• 进入应用注册的「App Roles」页面，编辑role.two，确认「允许的成员类型」确实勾选了「用户/组」；
• 或者直接打开应用注册的「Manifest」标签，搜索appRoles数组，找到role.two对应的条目，检查allowedMemberTypes字段是否包含"User"（比如["User"]或者["User", "Application"]）。如果这里只有"Application"，那这个角色只能分配给服务主体，不会出现在用户/组分配面板里。

2. 企业应用与应用注册的同步延迟 #

Azure的企业应用和应用注册之间的同步有时候会有几分钟的延迟，尤其是刚创建的角色。你可以：

• 等待5-10分钟后，刷新企业应用的「用户和组」页面，再尝试添加分配；
• 或者先退出Azure门户，重新登录后再进入分配页面。

3. 角色ID重复或配置不完整 #

每个应用角色的id必须是唯一的GUID，如果role.two的id和role.one重复，或者isEnabled字段被意外设为false，都会导致角色不显示：

• 打开应用注册的Manifest，检查两个角色的id是否是不同的GUID；
• 确认role.two的isEnabled值为true（即使UI上勾选了启用，有时候Manifest会有同步问题）。

4. 浏览器缓存或会话问题 #

有时候浏览器的缓存会保留旧的角色列表，导致新角色不显示：

• 尝试用浏览器的隐私/无痕模式打开Azure门户，进入企业应用的分配页面；
• 或者清除浏览器的缓存和Cookie后重新登录。

关于第一个角色灰色但可分配的问题 #

这个通常是Azure门户的UI显示bug，不影响实际分配功能。你可以尝试编辑这个角色，修改一下描述（比如加个空格）然后保存，大概率能恢复正常显示。

如果以上排查都没用，那可能是Azure后台的同步异常，建议你提交Azure支持工单，让微软的工程师帮你检查角色的后台状态。

内容的提问来源于stack exchange，提问作者kevwig85