使用服务主体非交互式执行Connect-ADAccount及AD用户邀请时遇权限不足

问题本质 #

你目前用证书完成非交互连接的流程是完全正常的，报错点完全集中在邀请接口的权限缺失上：
报错中提到的应用ID 00000003-0000-0000-c000-000000000000 是Microsoft Graph API的系统内置应用ID，说明New-AzureADMSInvitation命令底层完全依赖MS Graph的创建邀请接口完成操作。你之前为服务主体分配的所有者权限，是服务主体本身的资源管理权限（可完成证书更新、应用属性修改这类操作），和目录内创建用户邀请的操作权限完全无关，无法覆盖MS Graph接口的调用要求，因此触发权限不足报错。

必须配置的权限 #

因为你是用证书做非交互调用，不存在用户登录的委托上下文，必须给服务主体配置应用类型的MS Graph权限，无法使用委托类型权限：

• 核心必填权限：User.Invite.All，作用是允许应用无交互直接创建B2B来宾邀请，完全覆盖New-AzureADMSInvitation的接口调用要求
• 可选配套权限：如果你后续要为新邀请的用户分配资源权限，需要按需补充对应操作的MS Graph应用权限，比如目录对象批量操作需要Directory.ReadWrite.All、应用角色分配需要AppRoleAssignment.ReadWrite.All等

配置操作步骤 #

1. 找到你创建的用于非交互运行的服务主体对应的应用注册项
2. 进入应用的「API权限」配置页，点击「添加权限」，选择Microsoft Graph
3. 切换到「应用权限」分类，搜索并勾选User.Invite.All，确认添加
4. 点击权限列表上方的「为当前租户授予管理员同意」按钮——这一步是必须操作的，没有管理员同意的话，添加的权限不会对服务主体生效
5. 等待5-10分钟让权限同步完成，再重新执行非交互连接和邀请创建命令即可

注意：如果租户开启了严格的B2B外部邀请策略（比如仅管理员可以发邀请），需要确认策略规则允许该服务主体身份发送邀请，否则就算权限配置正确也会被策略拦截。

内容的提问来源于stack exchange，提问作者Grevioos