如何配置Azure AD OAuth2以在登录时返回用户所有安全组及组名

我有一个已注册Azure AD的应用，通过omniauth-azure-activedirectory-v2 gem采用OAuth2策略集成Azure AD实现SSO。我的需求是将用户的安全组映射到应用授权模型，因此需要获取安全组名称，但登录时无法稳定获取用户安全组及组名：有时正常返回名称，有时仅返回UUID格式的ID，有时完全不返回。

我已在应用的Token Configuration中配置了可选组声明，设置返回所有关联组的sam_account_name。部分客户端可正常返回如“Admin_APP”的组名，但部分客户端存在以下问题：

• 仅返回组ID（如c5bb3738-59f1-4718-b34c-2dfac761e023），未返回名称；
• 返回的可读组不全，AD中已分配的部分组缺失。

请问：

1. 这是我方应用配置问题，还是添加应用的组织需配置其AD组或我方应用？
2. 是否不应依赖token声明，而改用Azure Graph API获取组？
3. 我添加应用时需授权user.profile权限，但未看到组相关权限选项；在组织的企业应用权限标签下，仅能看到openid、profile和email，找不到我添加的组声明。

内容的提问来源于stack exchange，提问作者Ben