Azure Function移除Azure AD组用户时权限不足问题排查

数据老陈

2026-8-1

问题描述

我有一个Azure Function应用，用于在Azure AD中添加和移除特定组的用户。添加用户的代码可正常运行，但调用以下代码移除用户时：

await GraphHelper.graphClient.Groups[groupId].Members[userToRemove.Id].Request().DeleteAsync();

出现错误：

Code: Authorization_RequestDenied
Message: Insufficient privileges to complete the operation.

我检查了所用的应用注册，已配置以下权限：

Directory.Read.All
Directory.ReadWrite.All
Group.Read.All
Group.ReadWrite.All
GroupMember.Read.All
GroupMember.ReadWrite.All

更新
以下添加用户到组的代码可正常运行：

await GraphHelper.graphClient.Groups[groupId].Members.References.Request().AddAsync(userToAdd);

解决方案

1. 确认权限已完成管理员同意

即使配置了权限，若未完成管理员同意，权限不会生效。无论是应用权限还是需要管理员同意的委托权限，都需要全局管理员或对应权限的管理员角色完成同意操作。

2. 检查权限类型是否匹配场景

Azure Function作为后台服务，应使用**应用权限（Application Permission）**而非委托权限：

确认你配置的权限是Application类型，而非Delegated类型；
若当前用的是委托权限，切换为应用权限并重新完成管理员同意。

3. 验证令牌中的权限范围

解码Azure Function获取的访问令牌（可使用本地解码工具），查看roles（应用权限）或scp（委托权限）声明中是否包含GroupMember.ReadWrite.All、Group.ReadWrite.All或Directory.ReadWrite.All。如果令牌中没有这些权限，说明权限配置或同意步骤存在问题。