如何将AAD组分配给企业应用？PowerShell脚本执行报错排查

Get-AzureADGroup的-ObjectId参数仅接受Azure AD组的GUID格式对象ID，你在脚本中直接传入组的显示名称TEST作为该参数的值，不符合参数输入要求，查询不到对应组就会触发执行错误。

下面的脚本修复了参数使用错误，同时增加了异常校验、重复分配判断逻辑，可直接运行：

Connect-AzureAD

# 基础配置，多个组用逗号分隔写入数组即可
$GroupNames = @("TEST")
$app_name = "Intranet"
$app_role_name = "Default Access"

# 获取目标企业应用服务主体
$sp = Get-AzureADServicePrincipal -Filter "displayName eq '$app_name'"
if (-not $sp) {
    throw "错误：未找到名为 $app_name 的企业应用"
}

# 获取目标应用角色
$appRole = $sp.AppRoles | Where-Object { $_.DisplayName -eq $app_role_name }
if (-not $appRole) {
    throw "错误：应用 $app_name 下不存在名为 $app_role_name 的角色"
}

# 遍历所有组完成分配
foreach ($groupName in $GroupNames) {
    # 按显示名查询对应组
    $aadGroup = Get-AzureADGroup -Filter "displayName eq '$groupName'"
    if (-not $aadGroup) {
        Write-Warning "警告：未找到名为 $groupName 的组，跳过该组分配"
        continue
    }

    # 检查是否已存在分配，避免重复提交报错
    $existingAssignment = Get-AzureADGroupAppRoleAssignment -ObjectId $aadGroup.ObjectId | Where-Object { $_.ResourceId -eq $sp.ObjectId -and $_.Id -eq $appRole.Id }
    if ($existingAssignment) {
        Write-Host "提示：组 $groupName 已分配该应用角色，无需重复操作"
        continue
    }

    # 执行组到应用角色的分配
    New-AzureADGroupAppRoleAssignment -ObjectId $aadGroup.ObjectId -PrincipalId $aadGroup.ObjectId -ResourceId $sp.ObjectId -Id $appRole.Id
    Write-Host "成功：组 $groupName 已分配到应用 $app_name 的 $app_role_name 角色"
}

• 若需要分配多个组，直接修改$GroupNames配置即可，示例：$GroupNames = @("TEST", "财务组", "人力组")
• 所有涉及对象ID的参数位置，不要直接传入显示名称，需要先通过Filter查询拿到对应对象的ObjectId属性再传入
• 脚本内置了空值校验，遇到找不到组、找不到应用的场景会直接给出明确提示，不会抛出模糊的执行错误

内容的提问来源于stack exchange，提问作者ak2595