如何使用Azure AD Graph API检查用户锁定状态并解锁用户

一、检查用户的锁定状态 #

要确认用户是否处于锁定状态，你可以调用Azure AD Graph的用户详情接口来获取相关属性：

• 发送GET请求到端点：https://graph.windows.net/{tenant-id}/users/{user-id}?api-version=1.6
  • 其中{tenant-id}是你的Azure AD租户ID，{user-id}可以是用户的Object ID或者用户主体名称（UPN）
• 在返回的用户对象中，重点看lockedOut属性：
  • 若属性值为true，说明用户当前处于锁定状态；若为false，则用户未被锁定
  • 注意区分lockedOut和accountEnabled：后者是标识账号是否被禁用，和登录锁定是两个不同的概念

二、解锁锁定的用户 #

当确认用户处于锁定状态后，通过PATCH请求修改属性即可解锁：

• 发送PATCH请求到同一个用户端点：https://graph.windows.net/{tenant-id}/users/{user-id}?api-version=1.6
• 请求头必须包含：
  • Authorization: Bearer {access-token}：令牌需要具备足够权限，比如Directory.ReadWrite.All或Directory.AccessAsUser.All
  • Content-Type: application/json
• 请求体只需指定要修改的锁定属性：

  {
    "lockedOut": false
  }
  

• 如果请求返回204 No Content状态码，就说明解锁操作成功完成

关于文档未找到内容的说明 #

你提到在指定的Azure AD Graph API目录里没找到相关操作，大概率是因为Azure AD Graph的文档更新相对滞后，而且微软现在更推荐使用Microsoft Graph API来管理Azure AD资源。不过上面的操作是Azure AD Graph中确实支持的，你可以放心尝试。

内容的提问来源于stack exchange，提问作者bala3569