如何通过Azure AD B2B邀请API将新用户添加至安全组而非O365组？

我来帮你搞定这个Azure B2B邀请用户的分组问题！你现在遇到的情况是，受邀用户接受后被加到了Office 365组，但你希望他们进入安全组——其实有两种非常实用的实现方式，我给你详细拆解：

方法1：用户接受邀请后自动添加到安全组（首推方案） #

这种方式最稳妥，因为只有用户接受邀请后，Azure AD里才会创建正式的外部用户对象，我们可以通过自动化或代码两种方式实现：

方式A：用Azure Logic Apps/Power Automate做自动化流程 #

这是零代码的省心方案：

• 先设置触发条件：选Azure Active Directory里的当用户被创建时触发器，记得加个筛选规则，只针对B2B外部用户（用userType等于Guest来过滤就行）
• 接着加一个操作：选Azure Active Directory的添加成员到组，指定你的目标安全组ID，再把触发事件里的用户ID填进去当成员ID
• 保存流程后，之后所有新接受邀请的B2B用户都会自动被加到指定安全组里

方式B：在自定义应用代码里手动处理 #

如果你的邀请流程是自己的应用实现的，可以这么做：

1. 先调用POST https://graph.microsoft.com/v1.0/invitations创建邀请，记好返回的invitedUserEmailAddress
2. 定期调用GET https://graph.microsoft.com/v1.0/users?$filter=mail eq '{invitedUserEmailAddress}'，检查这个用户是否已经在Azure AD里存在（也就是接受了邀请）
3. 一旦查到用户存在，就调用组添加API：POST https://graph.microsoft.com/v1.0/groups/{security-group-id}/members/$ref，请求body写：

{
  "@odata.id": "https://graph.microsoft.com/v1.0/users/{user-id}"
}

方法2：创建邀请时关联安全组（需配合兜底逻辑） #

你也可以尝试在创建邀请的同时就关联安全组，但这里有个小限制：用户接受邀请前，Azure AD里还没有这个用户的对象，所以直接添加会失败。所以可以这么做：

• 调用邀请API创建邀请后，立即尝试用用户的邮件地址去添加到安全组（虽然会失败），然后配合方法1里的轮询或触发器，等用户接受后再自动完成添加

几个关键注意点 #

• 权限要够：你的应用或服务主体需要有GroupMember.ReadWrite.All（或Group.ReadWrite.All）权限来添加用户到组，还要有User.Read.All权限来读取用户信息
• 检查安全组设置：确保你的安全组允许添加外部用户（默认是允许的，但如果有特殊配置要提前确认）
• 避免重复添加：在执行添加操作前，可以先调用GET https://graph.microsoft.com/v1.0/groups/{group-id}/members/$count?$filter=id eq '{user-id}'，确认用户还没在组里，再执行添加

内容的提问来源于stack exchange，提问作者ToDevAndBeyond