使用Set-AzureADApplicationProxyApplication设置ConnectorGroupId报错排查

我之前处理过类似的Azure AD应用代理连接器组操作异常的情况，结合你描述的症状——新创建的连接器组在门户正常可用，但PowerShell操作时要么报Request_ResourceNotFound，要么Set命令显示成功却无实际变更，大概率是模块缓存、版本兼容性或者后台同步延迟导致的。下面是按优先级排序的解决方案：

1. 强制刷新Azure AD会话与连接器组数据 #

AzureAD PowerShell模块有时会缓存旧的资源快照，尤其是刚创建的连接器组还没同步到模块的查询结果里。先断开再重新连接，同时确保获取全量数据：

# 断开当前Azure AD连接
Disconnect-AzureAD
# 重新连接账号
Connect-AzureAD
# 强制获取所有连接器组，避免分页缓存
$aadapConnectorGroups = Get-AzureADApplicationProxyConnectorGroup -Top 100000 -All $true

注意加上-All $true参数，这个参数会绕过默认的分页限制，确保你拿到的是最新的全量连接器组列表。

2. 手动验证连接器组ObjectID的准确性 #

虽然你说通过Get-AzureADApplicationProxyConnectorGroup能查到目标组，但还是建议手动从门户获取它的ObjectID（进入连接器组的「属性」面板即可看到），然后硬编码ID做测试：

# 替换成你从门户复制的目标连接器组ObjectID
$targetGroupId = "xxxxxx-xxxx-xxxx-xxxx-xxxxxxxx"
# 测试创建应用代理
New-AzureADApplicationProxyApplication `
 -DisplayName "TestProxyApp" `
 -ExternalUrl "https://test.yourdomain.com" `
 -InternalUrl "http://your-internal-app" `
 -ConnectorGroupId $targetGroupId

如果硬编码ID能成功，说明你之前的循环逻辑里可能存在$ConnectorGroupIdName匹配错误，或者返回的$item并非目标组。

3. 更新AzureAD PowerShell模块到最新版本 #

旧版本的AzureAD模块对新创建的连接器组支持可能存在兼容性问题。先查看当前版本：

Get-Module -ListAvailable AzureAD

如果版本低于2.0.2.130，建议更新到最新版：

Install-Module -Name AzureAD -Force -AllowClobber

更新完成后重新连接Azure AD再执行操作。

4. 等待后台同步完成 #

新创建的连接器组需要几分钟完成Azure AD后台的全量同步，虽然门户显示正常，但PowerShell调用的后端API可能还没同步完成。建议创建组后等待10-15分钟再尝试PowerShell操作。

5. 切换到Microsoft Graph PowerShell模块 #

如果AzureAD模块的问题持续，推荐使用官方更推荐的Microsoft Graph PowerShell模块，它的API同步速度更快，兼容性更好：
首先安装所需模块：

Install-Module -Name Microsoft.Graph.Applications -Force -AllowClobber

然后连接并执行操作：

# 连接Graph，需要ApplicationProxy.ReadWrite.All权限
Connect-MgGraph -Scopes "ApplicationProxy.ReadWrite.All"
# 获取目标连接器组
$connectorGroup = Get-MgApplicationConnectorGroup -Filter "displayName eq '$ConnectorGroupIdName'"
# 示例：创建新的应用代理
New-MgApplicationApplicationProxy -ApplicationId $yourAppId `
 -ExternalUrl $ExternalUrl `
 -InternalUrl $InternalUrl `
 -ConnectorGroupId $connectorGroup.Id
# 示例：修改现有应用的连接器组
Update-MgApplicationApplicationProxy -ApplicationId $yourAppId -ConnectorGroupId $connectorGroup.Id

额外说明 #

关于Set-AzureADApplicationProxyApplication显示成功但未实际变更的问题，这是旧版本AzureAD模块的常见返回值bug——模块错误地返回了成功状态，但实际API请求并未执行成功。解决了资源识别的核心问题后，这个现象也会随之消失。

内容的提问来源于stack exchange，提问作者MoonHorse