Azure AD安全组与M365组未在Azure DevOps环境审批人选项中显示

核心触发原因 #

该场景下排除同步延迟后，问题基本都出在AAD组的配置不符合DevOps环境审批功能的检索规则：

• DevOps环境的审批人检索仅支持识别带有有效邮件地址的AAD组，未启用邮件功能的纯安全组默认不在检索范围内
• 私有可见性的AAD组，仅组内的成员/所有者可以在审批人检索框中搜索到对应组，非组内账号无法检索

分步修复方案 #

1. 确认目标组的邮件配置：
   登录Azure门户进入Azure AD管理中心，打开目标组的「属性」页，检查邮件字段是否有有效值：
   • 如果是无邮件的纯安全组，可修改为启用邮件的安全组，或迁移为Microsoft 365组（默认自带邮件属性）
   • 如果是Microsoft 365组，确认邮件属性未被禁用
2. 调整组可见性或成员权限：
   • 如果组为私有可见性，将你当前登录DevOps的账号添加到目标组的成员或所有者列表
   • 无保密要求的场景也可直接将组可见性调整为公开
3. 手动触发同步：
   进入DevOps组织设置的「Azure Active Directory」配置页，点击立即同步按钮，等待15分钟后再次尝试检索即可

特殊场景排查 #

如果上述操作后问题仍存在，检查目标AAD组是否被分配了Azure AD管理员角色，绑定了高权限管理员角色的组会被DevOps安全策略默认屏蔽，无法作为环境审批人使用。

内容的提问来源于stack exchange，提问作者omaticat