Azure DevOps流水线中New-MgGroup创建AD组提示权限不足

先澄清权限重复显示的问题 #

(Find-MgGraphCommand -Command New-MgGroup).permissions返回重复权限是工具默认行为：它会同时列出**委派（Delegated）和应用（Application）**两种类型的权限，只是输出未做类型区分，并非权限配置重复，属于正常现象。

核心问题：New-MgGroup权限不足的排查步骤 #

1. 确认MS Graph权限的类型与授权状态 #

• 登录Azure门户，找到该服务主体对应的企业应用（而非应用注册），进入「权限」页面：
  • 确保已添加的Directory.ReadWrite.All和Group.ReadWrite.All是Application类型的MS Graph权限，而非Delegated类型；
  • 确认权限状态为「已授予管理员同意」，未授权的应用权限无法生效。

2. 检查登录MS Graph时的令牌作用域 #

服务主体使用Application权限调用MS Graph时，必须指定https://graph.microsoft.com/.default作为作用域，否则令牌不会包含已配置的应用权限。

• 流水线中登录MS Graph的命令需符合以下格式：

  Connect-MgGraph -ClientId $clientId -ClientSecret $clientSecret -TenantId $tenantId -Scope "https://graph.microsoft.com/.default"
  

• 解码登录后获取的令牌（可使用PowerShell的Decode-JWT模块，或手动复制令牌到本地解码），检查roles声明中是否包含Group.ReadWrite.All或Directory.ReadWrite.All：
  • 若没有roles字段，说明作用域指定错误，或权限未正确授予；
  • 若只有scp字段，说明使用了Delegated权限，而非Application权限。

3. 验证MS Graph模块版本 #

旧版本的Microsoft.Graph模块可能存在权限映射或API调用bug，建议升级到最新稳定版：

Update-Module Microsoft.Graph -Force -AllowClobber

4. 等待权限同步生效 #

Azure AD的权限变更最长可能需要15分钟才能同步到所有节点，若刚配置完权限，可等待一段时间后重试。

5. 区分az ad与New-MgGroup的API差异 #

az ad group create调用的是旧版Azure AD Graph API，而New-MgGroup调用的是新版Microsoft Graph API，两者权限体系相互独立：

• 当前az ad命令正常，可能是服务主体在旧版Azure AD Graph中已有对应权限，但这不代表新版MS Graph的权限已配置正确，需重点检查MS Graph的权限配置与令牌内容。

内容的提问来源于stack exchange，提问作者Aiden Dipple