向AAD M365组添加来宾用户：Azure门户与Graph Explorer权限差异

差异根源：Azure门户与Graph Explorer的权限/操作逻辑差异 #

Azure门户添加来宾到组时，会自动完成来宾邀请+成员添加的全流程，且依托预配置的系统权限集合，直接继承组所有者的管理权限；而Graph Explorer是基于Microsoft Graph API的交互式工具，需手动配置所需权限，操作逻辑严格遵循Graph API规范，不会自动补全流程步骤。

可能遗漏的关键点 #

1. Graph Explorer未配置足够的Delegated权限 #

作为组所有者，通过Graph API添加来宾需确保已同意以下Delegated权限（登录Graph Explorer后，点击右上角「Modify permissions」配置）：

• GroupMember.ReadWrite.All：允许读取和修改组成员
• Invitation.ReadWrite.All：若添加的是未被邀请过的外部来宾，需此权限创建来宾邀请

若仅授予只读权限（如Group.Read.All），或缺失来宾邀请相关权限，会触发Authorization_RequestDenied错误。

2. 未区分"现有来宾"与"外部来宾"的操作流程 #

• 若来宾已存在于租户中（已完成邀请），可直接调用POST /groups/{group-id}/members/$ref添加，请求体示例：

{
  "@odata.id": "https://graph.microsoft.com/v1.0/users/{guest-user-id}"
}

• 若为从未邀请过的外部来宾，Azure门户会自动执行「创建邀请→添加到组」两步操作，但Graph API需手动拆分：
  1. 先调用POST /invitations创建来宾邀请，获取来宾用户ID
  2. 再调用POST /groups/{group-id}/members/$ref将该用户加入组

若直接尝试将外部邮箱（而非已存在的来宾用户ID）添加到组，会因权限或逻辑错误报错。

3. 租户组权限限制 #

部分租户可能在Azure AD「组→设置→高级设置」中启用了组权限限制（如限制组所有者添加来宾），即使是组所有者，也需额外目录级权限才能通过Graph API管理来宾成员。需确认该选项是否开启（此设置对Graph API同样生效）。

验证步骤 #

1. 在Graph Explorer的「Modify permissions」页面，勾选GroupMember.ReadWrite.All和Invitation.ReadWrite.All权限，点击「Consent」完成授权
2. 尝试添加已存在于租户中的来宾用户到group1，验证操作是否成功
3. 若添加外部来宾，先调用POST /invitations创建邀请，再执行添加组成员的操作

内容的提问来源于stack exchange，提问作者user989988