如何通过Graph API查看用户的Azure内置目录角色？

Azure 门户操作（和你提到的「已分配角色」页面对应） #

• 登录Azure门户，搜索并进入Azure Active Directory
• 左侧菜单选用户，找到目标用户并进入其详情页
• 切换到已分配角色标签页，这里就能看到该用户所有已分配的内置/自定义目录角色，包括角色名称、分配类型、作用域等信息

Azure PowerShell 方式 #

推荐使用Microsoft Graph模块（AzureAD模块已进入退役阶段）：

• 先安装并导入模块：

  Install-Module -Name Microsoft.Graph -Force
  Import-Module Microsoft.Graph.Identity.DirectoryManagement
  

• 连接到Microsoft Graph（需要Directory.Read.All权限）：

  Connect-MgGraph -Scopes "Directory.Read.All"
  

• 查询指定用户的目录角色：

  # 把user@contoso.com替换成目标用户的UPN或对象ID
  $userId = "user@contoso.com"
  Get-MgUserDirectoryRoleByUser -UserId $userId | Select-Object Id, DisplayName, Description
  

Azure CLI 方式 #

• 先登录Azure CLI：

  az login
  

• 查询指定用户的目录角色分配：

  # 把user@contoso.com替换成目标用户的UPN或对象ID
  az ad user list-member-of --id user@contoso.com --filter "objectType eq 'DirectoryRole'"
  

内容的提问来源于stack exchange，提问作者rafal fraczek