如何用Azure Active Directory B2C GraphServiceClient创建全局管理员用户？

嘿，我一眼就看出问题所在了——你完全搞错了UserType字段的用途！这个字段根本不是用来设置管理员角色的，它的作用是区分用户是租户的成员（Member）还是来宾（Guest），所以你把它设成"Global Administrator"完全不会生效，这就是为什么新用户还是普通账号的原因。

正确的操作步骤 #

要在Azure AD B2C中创建全局管理员用户，需要分两步走：先创建普通成员用户，再给这个用户分配全局管理员角色。

1. 创建成员用户

首先创建用户时，UserType要设为"Member"（因为全局管理员必须是租户成员，来宾账号无法获得这个角色），代码示例如下：

var newAdminUser = new User
{
    AccountEnabled = true,
    DisplayName = "Admin John",
    MailNickname = "adminjohn",
    UserPrincipalName = "adminjohn@yourb2ctenant.onmicrosoft.com",
    PasswordProfile = new PasswordProfile
    {
        ForceChangePasswordNextSignIn = true,
        Password = "YourStrongPass123!"
    },
    UserType = "Member" // 这里必须是Member，不是管理员角色名称
};

// 调用Graph API创建用户
await graphServiceClient.Users.PostAsync(newAdminUser);

2. 分配全局管理员角色

全局管理员是Azure AD的内置目录角色，你需要通过角色模板ID来找到这个角色，然后将用户添加到该角色中。全局管理员的角色模板ID是固定的：62e90394-69f5-4237-9190-012177145e10。

代码示例如下：

// 全局管理员的固定角色模板ID
var globalAdminRoleTemplateId = "62e90394-69f5-4237-9190-012177145e10";

// 查询对应的目录角色（全局管理员角色默认已存在于租户中）
var directoryRoleResult = await graphServiceClient.DirectoryRoles
    .GetAsync(options =>
    {
        options.QueryParameters.Filter = $"roleTemplateId eq '{globalAdminRoleTemplateId}'";
    });

var globalAdminRoleId = directoryRoleResult.Value.First().Id;

// 将创建好的用户添加到全局管理员角色
await graphServiceClient.DirectoryRoles[globalAdminRoleId].Members.Ref
    .PostAsync(new ReferenceCreate
    {
        OdataId = $"https://graph.microsoft.com/v1.0/users/{newAdminUser.Id}"
    });

额外注意事项 #

• 权限要求：你的GraphServiceClient必须拥有足够的权限，推荐使用应用权限中的Directory.ReadWrite.All，或者委派权限中的Directory.AccessAsUser.All（后者需要用户本身有管理员权限）。
• 角色激活：如果你的租户中从未使用过全局管理员角色（这种情况极少），可能需要先通过角色模板ID激活该角色，再进行用户分配。

内容的提问来源于stack exchange，提问作者aBlaze