调用Graph API查询Azure AD角色成员时找不到服务主体怎么办

• 你测试调用的两个/directoryRoles/{id}/members、/directoryRoles/roleTemplateId={id}/members属于Graph API早期提供的目录角色查询接口，存在默认返回类型过滤逻辑：接口默认仅返回用户（user）、*组（group）两类成员对象，会自动过滤掉服务主体（servicePrincipal）*类型的分配结果，和Azure门户展示的全量分配列表不一致属于接口默认设计行为，不是角色配置错误或者权限不足导致的。
• 如果你给服务主体配置的是PIM（特权身份管理）下的资格型分配、而非永久激活的直接分配，这两个接口同样不会返回对应记录——该接口本身仅收录已激活的永久角色分配关系。

方案1：补全请求参数适配原有接口 #

给原有请求添加必要的请求头和查询参数，即可强制接口返回包含服务主体在内的全量成员：

1. 请求必须添加头信息：ConsistencyLevel: eventual
2. 请求URL追加查询参数，示例完整请求：

   GET https://graph.microsoft.com/v1.0/directoryRoles/{角色ID}/members?$count=true&$select=id,displayName,appId,servicePrincipalType
   

注意：调用该接口需要持有RoleManagement.Read.Directory或Directory.Read.All及以上级别的委派/应用权限，权限不足时依然会自动过滤服务主体类型的结果。

方案2：使用统一角色管理接口查询（推荐，稳定性更高） #

直接调用Graph API提供的统一角色分配查询端点，该端点不会做对象类型过滤，会默认返回所有类型的角色分配主体，是当前官方推荐的查询方式：

1. 示例请求（查询永久激活的角色分配）：

   GET https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments?$filter=roleDefinitionId eq '{角色模板ID}'&$expand=principal
   

2. 结果筛选逻辑：遍历响应中的principal字段，当字段内@odata.type属性值为#microsoft.graph.servicePrincipal时，对应的条目就是分配了该角色的服务主体，可直接从该字段下获取服务主体的appId、displayName、id等核心属性。
3. 如果需要查询PIM下未激活的资格型分配，将接口路径替换为/privilegedAccess/aadroles/roleAssignments即可覆盖全状态的分配记录。

内容的提问来源于stack exchange，提问作者EG Frost