Azure AD：如何通过Graph API添加用户到邮件启用安全组？

你碰到的这个问题其实是个常见的权限边界问题——邮件启用安全组如果是通过Exchange Online创建的，这类组的成员管理权限是归Exchange服务管的，而不是Azure AD Graph API的管辖范围，所以直接用Azure AD Graph的成员添加方法就会触发那个"无法更新外部服务创建的对象"的错误。

下面给你两种可行的解决办法：

方法1：改用Microsoft Graph API（推荐） #

Microsoft Graph已经整合了Azure AD和Exchange的管理能力，对这类跨服务的组操作支持更到位。你可以用它的POST /groups/{group-id}/members/$ref端点来添加成员，用SDK的话代码大概是这样：

public async Task AddGroupMemberWithGraph(IUser newUser)
{
    try
    {
        string groupId = GetAlleBrukereId(); // 保留你原来的组ID获取逻辑
        string upn = newUser.UserPrincipalName;
        
        // 先找到目标用户
        var user = await graphServiceClient.Users
            .Request()
            .Filter($"userPrincipalName eq '{upn}'")
            .FirstOrDefaultAsync();
        
        if (user == null)
            throw new Exception("User is null.");
        
        // 检查用户是否已经在组里了
        bool isMember = false;
        try
        {
            await graphServiceClient.Groups[groupId].Members[user.Id]
                .Request()
                .GetAsync();
            isMember = true;
        }
        catch (ServiceException ex) when (ex.StatusCode == HttpStatusCode.NotFound)
        {
            isMember = false;
        }
        
        if (!isMember)
        {
            // 添加用户到组
            await graphServiceClient.Groups[groupId].Members.References
                .Request()
                .AddAsync(user);
        }
    }
    catch(Exception ex)
    {
        Console.WriteLine("ERROR: " + ex.Message);
        Console.WriteLine("ERROR: " + ex.Source);
        Console.WriteLine("ERROR: " + ex.StackTrace);
        Console.WriteLine("ERROR: " + ex.InnerException);
    }
}

方法2：用Exchange Online PowerShell（临时过渡方案） #

如果暂时没法切换到Microsoft Graph，也可以通过Exchange PowerShell来添加成员，命令很简单：

Add-DistributionGroupMember -Identity "你的邮件启用安全组名称/邮件地址" -Member "目标用户的UPN或邮件地址"

你可以在C#里通过调用PowerShell脚本的方式执行这个命令，但要确保你的应用账号有Exchange Online的管理权限。

补充说明：为什么普通组没问题？ #

普通的安全组和Office 365组是完全由Azure AD托管的，所以Azure AD Graph API有完整的成员管理权限；但邮件启用安全组如果是Exchange创建的，它的成员列表是由Exchange维护的，Azure AD Graph只能读不能改，这就是你之前报错的核心原因。

内容的提问来源于stack exchange，提问作者user3629354