在C# ASP.NET Core 6.0中从Azure AD获取用户组及权限问题解决

• 需求：获取Azure AD中指定用户所属的所有组
• 当前代码仅能获取用户DisplayName，未实现获取组的逻辑
• 遇到错误：

Code: Authorization_RequestDenied Message: Insufficient privileges to complete the operation.
Inner error: AdditionalData: date: 2022-12-06T19:54:23...

当前尝试代码：

public async Task<string> traerGrupos(string userID)
{
            string currentUser = "null";

            try
            {
                var tenant = "mytenant";
                var clientID = "myclientid";
                var secret = "mysecretkey";
                var clientSecretCred = new ClientSecretCredential(tenant, clientID, secret);
                
                GraphServiceClient graphClient = new GraphServiceClient(clientSecretCred);

                var usr = graphClient.Users[userID.ToString()].Request()
                .Select(x => x.DisplayName).GetAsync().Result;

                currentUser = usr.DisplayName;
                return currentUser;
            }
            catch (Exception ex)
            {
                return currentUser = ex.Message;
            }
}

一、实现获取用户所属组的代码 #

使用Microsoft Graph的MemberOf导航属性可直接获取用户所属组，修改后的异步代码如下：

public async Task<List<string>> traerGrupos(string userID)
{
    var groupNames = new List<string>();
    try
    {
        var tenant = "mytenant";
        var clientID = "myclientid";
        var secret = "mysecretkey";
        var clientSecretCred = new ClientSecretCredential(tenant, clientID, secret);
        
        GraphServiceClient graphClient = new GraphServiceClient(clientSecretCred);

        // 获取用户直接所属的所有组（安全组、Office 365组等）
        var groups = await graphClient.Users[userID].MemberOf.Request().GetAsync();
        
        foreach (var group in groups)
        {
            if (group is Group g)
            {
                groupNames.Add(g.DisplayName);
            }
        }
        return groupNames;
    }
    catch (Exception ex)
    {
        groupNames.Add($"错误: {ex.Message}");
        return groupNames;
    }
}

说明：

• 若需获取嵌套组（用户所在组的父组），可替换为TransitiveMemberOf接口
• 异步方法中使用await替代.Result，避免线程死锁

二、解决权限不足错误 #

按以下步骤逐一排查：

1. 确认权限类型
   使用客户端凭据（Client Secret）调用Graph API时，必须配置应用权限（而非委派权限），所需权限为Group.Read.All或Directory.Read.All（优先选择最小权限）
2. 确认管理员已同意权限
   应用权限需由Azure AD全局管理员或权限管理员授予同意，仅添加权限未同意会导致权限不足。检查路径：Azure Portal → Azure AD → 应用注册 → 目标应用 → API权限 → 确认权限状态为「已授予」
3. 等待权限生效
   权限授予后可能需要5-10分钟生效，可尝试重启应用或重新获取访问令牌
4. 验证用户ID正确性
   确保传入的userID是Azure AD用户的对象ID，而非用户名或UPN

内容的提问来源于stack exchange，提问作者F205