MS Graph PowerShell调用User.Read.All需管理员同意问题咨询

问题背景 #

• 业务需求：列出AAD内指定范围用户，查询其对应经理信息，若经理账号处于禁用状态，则同步禁用该下属用户账号
• 当前账号权限：已分配AAD内置角色 用户管理员（User Administrator）、全局读取者（Global Reader）
• 迁移背景：原有基于AzureAD PowerShell cmdlet的脚本可正常运行，计划迁移至Microsoft Graph PowerShell cmdlet实现相同逻辑
• 遇到的问题：执行Connect-MgGraph -Scopes "User.Read.All"命令完成网页登录时，弹出提示需要持有全局管理员/应用程序管理员角色的用户授予同意；当前租户已在「企业应用程序 > 用户同意设置」中开启*允许用户对应用授予同意（Allow user consent for apps）*选项，认为该权限校验属于体验倒退。

疑问解答 #

1. 携带User.Read.All权限范围执行Connect-MgGraph时，管理员同意弹窗是每次都会弹出，还是仅首次弹出？ #

仅首次执行时弹出。
Microsoft Graph PowerShell本质是注册在AAD中的第一方企业应用，所有委托权限的同意记录会持久化保存在租户的企业应用权限配置中。首次完成管理员同意授权后，后续同账号、同租户、同权限范围执行连接命令时，不会重复弹出同意窗口，可直接完成认证。
需要明确：User.Read.All属于可读取全租户所有用户全属性的高风险委托权限，默认不在普通用户可自主同意的权限列表内——哪怕租户开启了允许用户同意应用的全局设置，这类影响全租户数据的高权限依然需要管理员审批，不属于配置错误。

2. 是否存在无需管理员同意即可实现上述业务需求的方案？ #

存在，核心是避免过度申请高权限范围，直接使用自身目录角色的原生权限完成操作，具体操作路径如下：

• 执行连接命令时不要指定User.Read.All权限范围，直接运行基础连接命令：

  Connect-MgGraph
  

  该命令默认仅申请User.Read、openid、profile、offline_access这类基础的用户级权限，属于普通用户可自主同意的范围，不会触发管理员同意弹窗。
• 登录完成后，你持有的用户管理员角色对应的目录权限会直接透传给Microsoft Graph接口，无需额外授权即可完成所有业务操作：
  • 调用Get-MgUser查询目标范围的用户列表
  • 调用Get-MgUserManager查询对应用户的经理信息及账号状态
  • 调用Update-MgUser将经理已禁用的下属用户的accountEnabled属性设为$false，完成账号禁用操作
    之前触发管理员同意要求的核心原因是过度申请了User.Read.All高权限，实际业务场景完全不需要用到该全租户范围的读取权限。
    另外补充说明：旧版AzureAD PowerShell模块本身预置了全量Graph访问权限，登录后权限完全由用户持有的目录角色决定；新版Microsoft Graph PowerShell遵循最小权限原则，默认不申请任何高权限，两者的权限模型差异属于安全设计收紧，并非体验倒退。

内容的提问来源于stack exchange，提问作者jamiecon