使用Python向Microsoft Graph API提交数据并添加用户至Azure组

现有代码问题分析 #

你提供的代码存在几处需要修正的问题，同时需要注意权限和调用逻辑的一致性：

1. 身份验证上下文不一致 #

初始化代码使用的是用户身份验证（设备码流，user_client），但添加成员的代码里调用了ensure_graph_for_app_only_auth()并使用app_client，两者身份验证类型不匹配。如果是基于用户权限操作，应该统一使用user_client。

2. Graph API调用端点错误 #

添加组成员的正确API端点是groups/{group-id}/members/$ref，而非直接对组资源发起POST请求。

3. 请求数据格式问题 #

发送请求时需要传递JSON格式的 payload，而不是表单数据，应该使用json=payload参数而非data=payload。

4. Python语法问题 #

Python类方法中应使用self而非this来引用实例变量，这是Python的标准语法规范。

修正后的代码 #

修正身份验证初始化代码 #

def initialize_graph_for_user_auth(self, config):
    self.settings = config
    client_id = self.settings['clientId']
    tenant_id = self.settings['authTenant']
    graph_scopes = self.settings['graphUserScopes'].split(' ')
    self.device_code_credential = DeviceCodeCredential(client_id, tenant_id=tenant_id)
    self.user_client = GraphClient(credential=self.device_code_credential, scopes=graph_scopes)

修正添加组成员代码 #

def add_member_to_group(self, user_id, group_id):
    # 构造请求体，指定要添加的用户的Graph API资源路径
    payload = {'@odata.id': f'https://graph.microsoft.com/v1.0/users/{user_id}'}
    
    try:
        # 调用正确的API端点：groups/{group_id}/members/$ref
        response = self.user_client.groups[group_id].members.ref.post(json=payload)
        
        if response.status_code == 204:
            print(f'已成功将用户 {user_id} 添加到组 {group_id}。')
        else:
            # 解码错误信息以便可读
            print(f'错误：{response.content.decode("utf-8")}')
    except Exception as e:
        print(f'请求异常：{str(e)}')

关键注意事项 #

• 权限配置：确保graphUserScopes包含GroupMember.ReadWrite.All或Group.ReadWrite.All权限，否则会返回权限不足的错误。需要在Azure AD应用注册中配置对应权限，并让用户完成授权。
• 身份验证选择：如果需要应用级权限（无需用户交互），才使用app_client，否则保持用户身份验证的上下文一致。
• 错误处理：建议添加异常捕获逻辑，处理网络错误、API限流等异常情况。

内容的提问来源于stack exchange，提问作者Mark Baumann