Azure AD受限访客用户账户授予特定成员用户权限问题咨询

完全可以通过自定义授权实现仅给这10个访客开放对应权限，不需要给所有成员或访客开放全局权限，具体操作如下：

1. 核心实现思路 #

通过创建Azure AD自定义角色，精准授予指定权限，再将这10个访客用户分配到该自定义角色即可，避免全局修改访客权限带来的安全风险。如果你的租户没有Azure AD Premium P1/P2许可证（自定义角色的前置要求），再考虑调整全局外部协作设置。

2. 具体操作步骤 #

2.1 创建包含目标权限的自定义角色 #

你可以在Azure AD管理中心图形界面操作，也可以通过Microsoft Graph PowerShell批量操作，需要授予的两个核心权限为：

• microsoft.directory/invitations/create：允许用户发起访客邀请
• microsoft.directory/groups/members/update：允许用户修改所管理组的成员列表
  如果需要支持访客搜索目录中的用户/访客来添加到组，可以额外加microsoft.directory/users/read权限

PowerShell创建自定义角色示例：

# 连接Microsoft Graph，申请角色管理权限
Connect-MgGraph -Scopes "RoleManagement.ReadWrite.Directory"

# 定义自定义角色配置
$customRoleParams = @{
    DisplayName = "受限访客专属权限角色"
    Description = "允许邀请访客、修改自有组的成员列表"
    IsEnabled = $true
    RolePermissions = @(
        @{
            AllowedResourceActions = @(
                "microsoft.directory/invitations/create",
                "microsoft.directory/groups/members/update",
                "microsoft.directory/users/read"
            )
        }
    )
}

# 提交创建自定义角色
New-MgDirectoryRoleDefinition @customRoleParams

2.2 分配角色给目标访客用户 #

• 如果需要给用户授予整个目录范围内的权限，直接在角色的「分配」页面添加这10个访客用户即可
• 如果需要限制用户仅能修改自己拥有的组的成员，分配角色时将范围设置为对应的目标组即可，权限不会扩散到其他组

2.3 无Premium许可证的替代方案 #

如果租户没有Azure AD Premium许可证，只能通过全局设置开放权限：

1. 进入Azure AD管理中心 > 用户 > 用户设置 > 外部协作设置
2. 将「来宾可以邀请其他来宾」选项设置为「是」，开放所有访客的邀请权限
3. 将「来宾用户访问权限限制」设置为「来宾用户对目录对象的属性和成员身份具有与成员用户相同的访问权限」，开放访客作为组所有者时的成员修改权限
   该方案会对所有访客用户生效，安全风险更高，仅建议测试场景使用

3. 注意事项 #

• 所有权限配置修改后存在15~30分钟的目录缓存同步时间，配置完成后如果未立即生效，可以等待同步完成后再测试
• 建议先给单个测试访客用户分配权限验证功能符合预期后，再批量分配给所有10个目标用户

内容的提问来源于stack exchange，提问作者BPengu