AAD Graph停用后Microsoft Graph权限适配Az AD cmdlet问题咨询

问题解决&说明 #

1. 你当前遇到的权限无效问题核心原因是Azure Automation中使用的Az PowerShell模块版本过低：只有6.6.0及以上版本的Az模块才完成了底层接口从AAD Graph到Microsoft Graph的迁移，低于该版本的Az模块默认还是调用已停用的AAD Graph接口，所以即便你配置了Microsoft Graph权限也不会生效。
2. 权限配置需要确认两个关键点：
   • 你授予的Application.Read.All必须是应用程序权限，而非委托权限
   • 权限配置完成后必须点击「授予管理员同意」，未完成同意的权限不会生效
3. 临时兼容方案：如果暂时无法升级Az模块，可以直接将原有Get-AzADApplication、Get-AzADServicePrincipal等cmdlet替换为Microsoft Graph PowerShell模块的对应cmdletGet-MgApplication、Get-MgServicePrincipal，直接调用Microsoft Graph接口不会有兼容问题。

你提到的迁移完成后权限是否生效的问题，答案是肯定的：只要将Az模块升级到支持Microsoft Graph迁移的版本，已正确配置并授予管理员同意的Application.Read.All权限可以直接让原有Az AD相关cmdlet恢复正常运行，不需要额外调整权限配置。

这类问题在迁移过程中非常普遍，绝大多数开发者踩的坑都是模块版本不匹配、忘记授予管理员同意这两个点，优先排查这两项基本可以快速解决问题。

内容的提问来源于stack exchange，提问作者olti