请求排查：Azure AD普通用户未分配管理员角色却能访问的问题

1. 检查Azure AD默认用户权限 #

Azure AD默认向所有普通用户开放部分基础访问权限，比如查看个人资料、搜索目录内用户/组、查看租户基本信息等，这属于正常默认配置。可通过以下路径确认并调整：

• 进入Azure AD门户，依次点击企业应用程序 > 用户设置
• 查看「用户可以访问Azure AD管理门户」的状态，若开启，普通用户即可登录门户查看基础信息
• 检查「限制访问Azure AD管理门户」的配置，确认是否存在例外用户/组

2. 验证非管理员目录角色分配 #

除了管理员角色，Azure AD的部分非管理员目录角色（如目录读者、受限用户管理员等）也能赋予用户访问Azure AD的权限：

• 在Azure AD门户中进入角色和管理员 > 所有角色，筛选非管理员角色，检查目标用户是否被分配
• 用PowerShell命令确认：Get-AzureADUserMembership -ObjectId <用户ID> | Where-Object {$_.ObjectType -eq "Role"}

3. 排查组权限继承 #

用户可能通过所属安全组间接获得角色权限：

• 查看目标用户的所属组，检查这些组是否被分配了任何Azure AD角色（含非管理员角色）
• 用PowerShell命令查询组的角色分配：Get-AzureADGroupMembership -ObjectId <组ID> | Get-AzureADUserMembership | Where-Object {$_.ObjectType -eq "Role"}

4. 确认外部用户权限（若涉及B2B/B2C） #

如果是外部访客用户，Azure AD默认允许其查看部分目录信息：

• 进入Azure AD门户的用户设置 > 外部协作设置
• 查看「访客用户权限受限」的配置，若未开启，访客可能拥有超出预期的访问权限

5. 检查条件访问策略 #

部分条件访问策略可能无意中允许普通用户访问Azure AD门户：

• 进入Azure AD门户的条件访问，查看所有策略，确认是否有策略允许普通用户访问Microsoft Azure Management或Azure Active Directory类云应用

内容的提问来源于stack exchange，提问作者Zander