如何自动将租户所有现有及未来用户添加至企业应用？

核心方案：使用动态用户组实现自动分配 #

这是最长效的解决方案，既能覆盖现有用户，也能自动纳入未来新增用户：

1. 创建包含所有用户的动态安全组

   • 登录Azure门户，进入「Azure Active Directory」>「组」>「新建组」
   • 组类型选择「安全」，设置组名称（例如「All Enterprise App Users」）
   • 成员类型选择「动态用户」，点击「添加动态查询」
   • 在规则编辑器中输入以下查询规则，确保包含所有已注册用户：

     user.objectId -ne null
     

   • 保存组，等待Azure AD完成成员同步（通常需要1-5分钟）

2. 将动态组分配至目标企业应用

   • 进入「Azure Active Directory」>「企业应用」，找到你的目标应用
   • 选择「用户和组」>「添加用户/组」
   • 选中刚才创建的动态组，分配对应的应用角色（按需选择），点击「分配」完成操作

备选方案：PowerShell批量分配现有用户（配合组分配更完善） #

如果需要快速给现有用户完成分配，同时用动态组覆盖未来用户，可以结合PowerShell脚本：

1. 安装并连接Azure AD模块：

   Install-Module -Name AzureAD -Force -AllowClobber
   Connect-AzureAD
   

2. 获取目标应用的服务主体ID：

   $targetApp = Get-AzureADServicePrincipal -Filter "DisplayName eq '你的应用显示名称'"
   

3. 批量分配所有用户至应用：

   $allUsers = Get-AzureADUser -All $true
   foreach ($user in $allUsers) {
       New-AzureADUserAppAssignment -ObjectId $user.ObjectId -PrincipalId $user.ObjectId -ResourceId $targetApp.ObjectId
   }
   

注意事项 #

• 动态组功能需要Azure AD Premium P1/P2许可证，如果租户无此权限，可考虑使用静态组定期手动更新，但无法自动纳入新用户
• 确认目标企业应用支持组分配（绝大多数Azure AD集成应用都支持）
• 可调整动态组规则排除特定用户（例如添加-and user.userPrincipalName -notlike '*@exclude-domain.com'）

内容的提问来源于stack exchange，提问作者Psychonaut007