通过Microsoft Graph查询Azure AD安全组成员报权限不足错误如何解决

你使用的代码本身符合官方规范，错误完全来自权限配置环节，可按以下步骤逐一排查：

ServiceException: Code: Authorization_RequestDenied Message: Insufficient privileges to complete the operation

• 确认权限类型匹配
  如果你使用的是客户端凭据流（无用户参与的服务端调用场景），必须在应用注册的API权限中添加应用权限分类下的GroupMember.Read.All、Group.Read.All或Directory.Read.All权限，不要误选委托权限，两类权限互不通用。
• 确认权限已完成管理员同意
  在Azure门户应用注册的「API权限」页面，检查对应Microsoft Graph权限的状态列是否显示「已授予<你的租户名称>」，仅添加权限但未由全局管理员/特权角色管理员点击「授予管理员同意」的话，权限不会生效。
• 检查目标安全组属性
  如果目标安全组是关联了Azure AD管理员角色的特权组，普通的GroupMember.Read.All权限无法读取其成员，必须给应用授予更高权限的Directory.Read.All应用权限。
• 校验访问令牌权限
  将你调用接口时使用的access token复制到jwt解析工具中，检查roles声明中是否包含你申请的对应组权限，如果没有该声明，说明你获取令牌时的scope配置错误：应用权限流必须使用https://graph.microsoft.com/.default作为scope，不能填写细粒度权限scope。
• 核对组ID正确性
  确认你替换代码中{group-id}的参数是目标安全组在Azure AD中的正确对象ID，不存在拼写错误、误填其他目录对象ID的问题。

内容的提问来源于stack exchange，提问作者Milad Ild