如何让Connect-MgGraph与Connect-MsolService在计划任务脚本中共存？

核心原因 #

Connect-MsolService（Azure AD MSOL模块）和Connect-MgGraph（Microsoft Graph PowerShell模块）采用独立的认证上下文。测试环境中能自动复用登录状态，是因为使用了交互式用户会话（共享系统登录上下文），但计划任务的非交互式凭据登录不会自动共享会话，必须显式处理两次认证。

可行解决方案 #

1. 复用同一存储凭据完成两次认证 #

直接使用预先存储的PSCredential对象依次调用两个Connect命令，这是最直接的适配方式：

# 读取预先存储的凭据（计划任务中需替换为安全存储读取逻辑，如SecretManagement）
$storedCred = Get-Credential -Message "输入认证凭据"

# 连接Msol服务
Connect-MsolService -Credential $storedCred

# 连接Microsoft Graph，必须显式指定所需权限范围（根据脚本功能调整）
Connect-MgGraph -Credential $storedCred -Scopes "User.Read.All", "Group.ReadWrite.All", "Directory.Read.All"

2. 确保Graph权限配置正确 #

• 检查认证账号的Graph权限：
  • 若使用委派权限：需在Azure AD的「企业应用」→ 搜索「Microsoft Graph」→ 「权限」中为该账号添加对应权限，并确保管理员已同意这些权限（非全局管理员账号需手动或批量同意）。
  • 必须指定-Scopes参数：计划任务的非交互式登录不会自动继承Msol的权限，不指定范围会导致权限不足错误。

3. 排查非交互式登录限制 #

• MFA影响：若账号开启强制MFA，使用-Credential的非交互式登录会失败，需调整MFA策略允许该账号无MFA的非交互式访问。
• 模块版本兼容性：确保MSOnline和Microsoft.Graph.Authentication模块为最新版本，旧版本可能存在认证冲突：

  # 更新模块
  Update-Module -Name MSOnline -Force
  Update-Module -Name Microsoft.Graph.Authentication -Force
  

注意事项 #

• 不要依赖测试环境的交互式会话逻辑，计划任务必须显式处理两次认证。
• 存储凭据时务必使用安全方式（如PowerShell SecretManagement、Azure密钥 vault），禁止明文存储。

内容的提问来源于stack exchange，提问作者chocodeea