PowerShell移除用户所有AzureAD组成员身份时脚本报错求助

报错根因说明 #

1. Request_UnsupportedQuery 报错 #

Get-AzureADUserMembership 返回的成员关系对象不止包含普通安全组、Microsoft 365组，还会返回用户被分配的目录角色对象。目录角色的成员关系不支持通过Remove-AzureADGroupMember cmdlet操作，传入目录角色的对象ID调用该命令时就会触发不支持查询的400错误。

2. 类型转换报错 #

调整后的代码在foreach循环体内错误引用了整个$groups集合的ObjectID属性，而非当前遍历到的单个组对象的ObjectID。$groups.ObjectID会返回所有组ID组成的对象数组，而Remove-AzureADGroupMember的-ObjectId参数仅接受单个字符串类型的组ID，类型不匹配直接触发转换错误。

正确实现代码 #

执行前请先通过Connect-AzureAD登录目标Azure AD租户，确认操作账号具备组管理权限（全局管理员、用户管理员、组管理员角色均可）：

# 定义目标用户，可填写用户UPN或Azure AD ObjectId
$targetUser = "user@yourtenant.com"

# 获取用户所属对象，过滤掉非组类型的目录角色
$userMemberships = Get-AzureADUserMembership -ObjectId $targetUser | Where-Object { $_.ObjectType -eq "Group" }

# 遍历逐个移除组成员身份，增加异常捕获避免单个组操作失败中断整个脚本
foreach ($group in $userMemberships) {
    try {
        Remove-AzureADGroupMember -ObjectId $group.ObjectId -MemberId $targetUser -ErrorAction Stop
        Write-Host "已从组 $($group.DisplayName) 移除目标用户"
    }
    catch {
        Write-Warning "从组 $($group.DisplayName) 移除用户失败：$($_.Exception.Message)"
    }
}

补充说明 #

• 若需要同步移除用户的目录角色分配，不能使用组移除cmdlet，需单独调用Remove-AzureADDirectoryRoleMember针对角色类型对象操作
• Azure AD模块已停止后续更新，长期运维建议迁移至Microsoft Graph PowerShell模块，对应操作逻辑一致，仅需替换为Graph模块对应cmdlet即可

内容的提问来源于stack exchange，提问作者Torran V