如何避免通过API创建Dynamics 365用户时自动分配Salesperson角色？

问题背景 #

• 使用Microsoft CRM SDK通过API创建Dynamics 365用户时，系统会自动分配Salesperson安全角色，该异常为近期出现
• 通过UI创建用户无此问题
• 官方文档提及导入用户时的自动角色分配逻辑，且用户可退出许可证自动分配角色机制，但客户已完成退出配置后仍出现该问题
• 相同代码在本地CRM环境无异常，推测为云端Dynamics 365服务器端设置导致
• 当前临时方案：将用户加入Dynamics环境的AAD安全组，等待同步创建用户后再通过API配置权限与信息

解决方案建议 #

• 检查环境自动化规则
  登录Dynamics 365管理员中心，排查是否存在针对systemuser实体创建事件的自动化逻辑：

  • 查看Power Automate流，确认是否有触发角色分配的流程
  • 检查自定义插件注册，确认是否有注册在systemuser的Create消息上、强制分配Salesperson角色的插件

• 明确初始化空角色集合
  在API创建用户时，显式设置角色集合为空，避免系统默认填充。示例代码：

  Entity user = new Entity("systemuser");
  user["firstname"] = "Jane";
  user["lastname"] = "Smith";
  // 显式指定角色集合为空
  user["roles"] = new EntityReferenceCollection();
  
  IOrganizationService service = /* 初始化你的服务实例 */;
  Guid userId = service.Create(user);
  

• 创建后立即移除角色
  在用户创建成功后，立即调用API移除自动分配的Salesperson角色：

  1. 查询获取Salesperson角色的ID
  2. 使用RemovePrincipalRoleRequest请求移除角色：

  RemovePrincipalRoleRequest removeRoleReq = new RemovePrincipalRoleRequest
  {
      PrincipalId = userId,
      RoleId = salespersonRoleId
  };
  service.Execute(removeRoleReq);
  

• 联系微软支持排查
  若以上方法均无效，可能是云端环境存在未公开的服务器端配置，可联系微软支持团队，提供环境ID、API请求日志等信息，协助排查根因

内容的提问来源于stack exchange，提问作者Tore Olav Kristiansen