Azure应用注册管理Exchange Online时Remove-DistributionGroupMember参数缺失问题

• 检查Exchange Online PowerShell模块版本
  错误提示参数不存在，核心原因大概率是模块版本过低——BypassSecurityGroupManagerCheck参数是ExchangeOnlineManagement模块3.0及以上版本才引入的。执行以下命令确认版本：

  Get-Module ExchangeOnlineManagement
  

  若版本低于3.0，立即升级模块：

  Update-Module ExchangeOnlineManagement
  

  升级完成后重新连接Exchange Online再测试命令。

• 验证应用权限的授予状态
  虽然已将服务主体加入Organization Management角色组，但需确认Azure应用注册中的Exchange.ManageAsApp权限已完成管理员同意，且权限状态显示为“已同意”。未完成同意的权限无法实际生效。

• 确认应用身份的连接命令正确性
  无人值守场景必须使用应用身份专属的连接方式，确保你的连接命令是：

  Connect-ExchangeOnline -AppId <应用ID> -CertificateThumbprint <证书指纹> -Organization <租户域名>.onmicrosoft.com
  

  避免使用普通用户身份的连接参数，否则应用权限无法被正确识别。

• 等待权限同步并验证角色分配
  服务主体加入角色组后，权限同步可能需要15-30分钟。执行以下命令确认角色分配是否生效：

  Get-ManagementRoleAssignment -RoleAssignee <服务主体名称>
  

  需能看到Organization Management对应的角色条目，否则说明权限未同步完成。

• 模块升级受限的替代方案
  若因环境限制无法升级模块，可临时通过以下步骤绕开参数问题：

  1. 使用Set-DistributionGroup将服务主体添加为目标安全组的管理员
  2. 执行Remove-DistributionGroupMember操作
  3. 操作完成后移除服务主体的组管理员权限

内容的提问来源于stack exchange，提问作者Robert Swiecki