使用Update-MgPrivilegedAccessResourceRoleSetting遇URI匹配错误求助

核心问题分析 #

你遇到的错误本质是Graph请求映射到PIM旧API时路径不匹配，主要原因是AzureAD模块与Graph模块对参数格式要求不兼容，也可能伴随权限或模块版本问题。

排查与解决步骤 #

1. 更新Microsoft Graph PowerShell模块到最新版 #

旧版本模块可能存在API路径映射bug，先执行更新：

Update-Module Microsoft.Graph -Force

2. 验证并配置正确权限 #

确保当前会话拥有PIM角色设置的读写权限，重新连接Graph并指定权限范围：

Connect-MgGraph -Scopes "PrivilegedAccess.ReadWrite.AzureResources"

注意：租户级操作需要管理员预先同意该权限。

3. 获取正确的参数值（关键差异点） #

AzureAD模块的Set-AzureADMSPrivilegedRoleSetting使用PIM内部的治理资源GUID，但Graph模块的Update-MgPrivilegedAccessResourceRoleSetting对参数有不同要求：

• GovernanceResourceId：必须是Azure资源的完整标识符（如订阅的/subscriptions/{subscription-id}、资源组的/subscriptions/{subscription-id}/resourceGroups/{rg-name}）
• GovernanceRoleSettingId：与AzureAD模块一致，为PIM角色设置的GUID

通过以下命令获取正确参数：

# 列出所有Azure资源的PIM角色设置
Get-MgPrivilegedAccessResourceRoleSetting -PrivilegedAccessId azureResources | Select-Object Id, GovernanceResourceId, DisplayName

从输出中复制目标角色设置的Id（即GovernanceRoleSettingId）和GovernanceResourceId（完整资源路径）。

4. 构造并执行正确的更新命令 #

必须通过-BodyParameter指定要更新的规则（如MfaRule、ExpirationRule），示例如下：

# 定义要更新的规则配置
$updateBody = @{
  rules = @(
    # 更新过期规则：最长有效期8小时，禁止永久分配
    @{
      id = "ExpirationRule"
      setting = @{
        maximumDuration = "PT8H"
        permanentAssignment = $false
      }
    },
    # 更新MFA规则：启用MFA验证
    @{
      id = "MfaRule"
      setting = @{
        isEnabled = $true
      }
    }
  )
}

# 执行更新（替换为你获取的实际参数）
Update-MgPrivilegedAccessResourceRoleSetting `
  -PrivilegedAccessId azureResources `
  -GovernanceResourceId "/subscriptions/xxxxxx-xxxx-xxxx-xxxx-xxxxxxxxx" `
  -GovernanceRoleSettingId "yyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyy" `
  -BodyParameter $updateBody

5. 确认资源已在PIM中注册 #

若资源未被PIM管理，也会返回找不到资源的错误，可通过以下命令验证：

Get-MgPrivilegedAccessResource -PrivilegedAccessId azureResources | Where-Object Id -eq "/subscriptions/xxxxxx-xxxx-xxxx-xxxx-xxxxxxxxx"

若输出为空，需先在Azure门户的PIM中注册该资源。

内容的提问来源于stack exchange，提问作者Vincent M