已通过初始检查的Azure AD租户无法删除报403如何处理

已知场景信息 #

• 执行Azure Active Directory租户删除操作时，门户UI初始检查全部显示通过，提示可删除租户，但实际触发删除后操作失败
• 删除操作过程中返回403权限错误
• 当前账号为租户内仅剩的用户，已持有全局管理员权限

相关操作截图：

可落地的解决操作 #

• 先排查登录上下文问题：403错误最常见的诱因是登录上下文串号。打开浏览器无痕模式，仅使用目标租户的全局管理员账号登录，不要同时登录其他Azure/微软服务账号，重新进入租户删除页重试。也可以先通过PowerShell执行Get-MgContext确认当前登录租户ID、账号角色完全匹配目标待删租户，排除个人微软账号、其他租户账号上下文干扰。
• 清理门户预检漏扫的隐藏阻塞资源：门户初始检查存在已知扫描盲区，以下资源残留会导致预检误判通过、实际删除失败：
  • 所有未移除的自定义域名，包括已失效未解析的域名，必须全部手动删除，不能留任何非默认onmicrosoft.com后缀的域名
  • 所有残留的服务主体、企业应用，包括被软删除的应用、B2B/B2C关联的外部身份提供商配置，可通过Graph PowerShell执行命令批量清理非微软原生服务主体
  • 所有关联的Azure订阅（含已过期免费试用订阅）、Log Analytics工作区、Intune/Exchange Online残留配置，订阅删除后需要等待72小时等后端完全清数据，再尝试删租户
  • 所有自定义条件访问策略、自助密码重置配置、动态组规则，全部临时删除恢复默认配置
• 绕开门户UI直接调用接口删除：如果UI操作持续报403，直接通过Graph Explorer发起删除请求，绕开前端页面的权限校验bug。选择DELETE请求方法，请求地址填https://graph.microsoft.com/v1.0/organization/[替换为你的租户ID]，添加请求头ConsistencyLevel: eventual后发起请求即可。
• 兜底方案：以上操作全部无效时，直接提交Azure支持工单，问题分类选择Azure Active Directory下的租户管理/删除类，说明你是租户唯一全局管理员、预检全过但删除报403，后端支持人员可以手动清除租户上残留的删除锁、隐藏阻塞资源，一般1-2个工作日即可完成删除。

注意：租户删除为不可逆操作，执行前确认所有需要留存的数据已完成备份，删除后租户关联的所有数据会被永久清除无法恢复。

内容的提问来源于stack exchange，提问作者ubienewbie