无法更新邮件启用安全组/通讯组：Exchange Online组成员复制问题

问题背景 #

需要将一名用户的所有通讯组/安全组权限复制给同岗位新用户，使用AzureAD PowerShell脚本时触发错误，提示无法更新邮件启用安全组或通讯组。

错误原因 #

Exchange Online管理的**邮件启用组（包括通讯组、邮件启用安全组）**属于Exchange专属资源，不能通过AzureAD PowerShell模块的Add-AzureADGroupMember命令修改成员，必须使用Exchange Online PowerShell模块处理这类组；普通AzureAD安全组仍可使用AzureAD模块命令操作。

修正后的脚本 #

# 参数配置
$SourceUserAccount = "user1@test.com"
$TargetUserAccount = "user2@test.com"
$AdminAccount = "admin@test.com" # 替换为有权限的管理员账号

# 连接AzureAD和Exchange Online
Connect-AzureAD
Connect-ExchangeOnline -UserPrincipalName $AdminAccount -ShowProgress $true

# 获取源用户和目标用户对象
$SourceUser = Get-AzureADUser -Filter "UserPrincipalName eq '$SourceUserAccount'"
$TargetUser = Get-AzureADUser -Filter "UserPrincipalName eq '$TargetUserAccount'"

if ($SourceUser -and $TargetUser) {
    # 获取源用户的所有组 membership
    $AllGroups = Get-AzureADUserMembership -ObjectId $SourceUser.ObjectId | Where-Object { $_.ObjectType -eq "Group" }

    foreach ($Group in $AllGroups) {
        # 检查目标用户是否已在组中
        $isMember = $false
        try {
            # 先尝试用AzureAD检查成员（适用于普通AzureAD组）
            $groupMembers = Get-AzureADGroupMember -ObjectId $Group.ObjectId -All $true
            $isMember = ($groupMembers.UserPrincipalName -contains $TargetUserAccount)
        }
        catch {
            # AzureAD无法获取成员时，用Exchange命令检查（适用于邮件启用组）
            $isMember = (Get-DistributionGroupMember -Identity $Group.ObjectId -ErrorAction SilentlyContinue | Where-Object { $_.UserPrincipalName -eq $TargetUserAccount }) -ne $null
        }

        if (-not $isMember) {
            try {
                # 尝试用AzureAD添加成员（普通AzureAD组）
                Add-AzureADGroupMember -ObjectId $Group.ObjectId -RefObjectId $TargetUser.ObjectId
                Write-Host "已添加用户到AzureAD组: $($Group.DisplayName)" -ForegroundColor Green
            }
            catch {
                # AzureAD命令失败时，用Exchange命令添加（邮件启用组）
                Add-DistributionGroupMember -Identity $Group.ObjectId -Member $TargetUserAccount
                Write-Host "已添加用户到Exchange组: $($Group.DisplayName)" -ForegroundColor Cyan
            }
        }
        else {
            Write-Host "用户已在组中: $($Group.DisplayName)" -ForegroundColor Gray
        }
    }
}
else {
    Write-Host "源用户或目标用户不存在，请检查账号！" -ForegroundColor Yellow
}

# 断开连接（可选）
Disconnect-AzureAD
Disconnect-ExchangeOnline -Confirm:$false

注意事项 #

• 执行脚本的账号需要同时拥有AzureAD用户管理权限和Exchange Online组管理权限
• 确保已安装所需模块，未安装可运行以下命令：

  Install-Module -Name AzureAD -Force
  Install-Module -Name ExchangeOnlineManagement -Force
  

内容的提问来源于stack exchange，提问作者Luukeh