如何在Azure AD B2C tenant中将一个security group添加为另一个security group的成员？添加失败问题排查

我来帮你捋捋这个问题的可能原因和解决办法，之前我也碰到过类似的Azure AD B2C组嵌套的场景，结合官方文档和实际操作经验，给你几个方向排查：

1. 先确认组的类型和范围是否符合要求 #

• 首先得确保你要嵌套的两个组都是普通安全组，而且范围是「租户默认（全局）」。如果其中一个是邮件启用的安全组、通讯组，或者是B2C自带的特殊系统组（比如来宾用户组），那是不支持嵌套的，GUI里自然搜不到，API调用也会失败。
• 你可以在Azure门户里打开每个组的详情页，检查「组类型」和「成员身份类型」这两个字段，确保都是符合要求的。

2. GUI中找不到目标组的常见解决方法 #

• 当你在添加成员的界面搜索组时，默认搜索范围可能只显示用户，你需要手动调整筛选条件：点击搜索框旁边的「筛选」按钮，选择「组」作为筛选对象，或者直接输入目标组的完整名称，这样就能搜到了。
• 另外，当前登录的账号权限也很关键：你需要拥有组管理员或者全局管理员权限，才能看到所有组并执行嵌套操作。如果是普通用户权限，可能看不到某些组，或者没有添加组作为成员的权限。

3. Terraform（Microsoft Graph）执行失败的排查要点 #

• 首先检查服务主体的API权限：你用来部署Terraform的服务主体，必须拥有Group.ReadWrite.All或者Directory.ReadWrite.All的应用权限（注意是应用权限，不是委派权限），并且已经完成了管理员同意。如果权限不够，API调用会直接返回权限不足的错误。
• 然后确认Terraform配置是否正确，比如下面的示例配置要确保两个组的object_id是正确的：

  resource "azuread_group" "parent_group" {
    name             = "ParentSecurityGroup"
    security_enabled = true
  }
  
  resource "azuread_group" "child_group" {
    name             = "ChildSecurityGroup"
    security_enabled = true
  }
  
  resource "azuread_group_member" "group_nesting" {
    group_object_id  = azuread_group.parent_group.object_id
    member_object_id = azuread_group.child_group.object_id
  }
  

• 还要注意调用Graph API的端点是否正确：必须使用通用的Graph端点https://graph.microsoft.com/v1.0，而不是B2C用户流的专属端点。

4. 关于Premium权限的疑问 #

根据微软官方文档，安全组的嵌套功能不需要Azure AD Premium许可证，免费版的Azure AD B2C就支持这个操作。所以你不用纠结是否需要升级账号，问题大概率出在前面提到的组类型、权限或者配置上。

额外的测试建议 #

你可以用Microsoft Graph Explorer直接调用API来验证：发送POST请求到https://graph.microsoft.com/v1.0/groups/{父组ID}/members/$ref，请求体填：

{"@odata.id": "https://graph.microsoft.com/v1.0/groups/{子组ID}"}

如果这个API调用成功，说明问题出在Terraform配置或者GUI操作上；如果失败，返回的错误信息会直接告诉你原因（比如权限不足、组类型不支持等），帮你快速定位问题。

内容的提问来源于stack exchange，提问作者Ilya Chernomordik