通过API申请加入Azure Active Directory组的技术问询

存在支持用户自助申请加入Azure AD组的API端点，基于Microsoft Graph即可实现，具体方案如下：

前置配置 #

首先需确保目标Azure AD组已开启用户自助申请权限：

• 登录Azure AD门户，找到目标组
• 进入「成员资格审批」设置，开启「允许用户申请加入此组」
• 配置审批规则（如指定审批人、自动审批条件等）

核心API端点 #

使用Microsoft Graph的POST /groups/{groupId}/memberRequests端点提交加入请求（注：该端点目前处于beta版本，v1.0版本可结合组审批流程通过POST /groups/{groupId}/members/$ref实现，但beta版本更贴合自助申请的场景）

请求示例 #

POST https://graph.microsoft.com/beta/groups/{groupId}/memberRequests
Content-Type: application/json

{
  "comment": "需要访问外部应用资源，申请加入该组",
  "targetGroupId": "{groupId}"
}

权限要求 #

需为用户委派以下权限之一：

• GroupMember.ReadWrite.All
• Group.ReadWrite.All

后续流程 #

用户提交请求后，指定的审批人会收到审批通知，可通过Azure AD门户或Microsoft Graph的审批API处理请求。审批通过后，用户会被自动添加至目标组，从而获得外部应用的访问权限。

内容的提问来源于stack exchange，提问作者David Beaudway