咨询MS Graph API组方法不支持应用权限的原因及合理性

我最近也注意到这个挺怪异的不一致性，刚好之前研究过Azure AD应用权限的设计逻辑，来跟你聊聊可能的原因：

• 组资源的核心安全属性：组在O365租户里是权限管控的核心载体，成员关系、组权限直接关联着租户内几乎所有资源的访问边界。微软在设计应用权限时，出于最小权限原则和风险防控的考虑，对组这类高敏感资源的应用权限做了严格限制——毕竟如果一个应用能直接无上下文地操作所有组，很容易被滥用，进而威胁整个租户的安全。

• v2端点权限模型的演进节奏：v2端点的权限模型是逐步迭代完善的，早期它更侧重委托权限（依赖用户上下文），应用权限的覆盖范围是后来慢慢扩展的。组相关的应用权限因为涉及到更复杂的租户级安全策略评估，可能在优先级上靠后，还没完成全量开放的评估流程。

• 替代方案的安全妥协设计：虽然没有专门的组全量应用权限，但微软提供了间接的替代路径。比如你可以使用Directory.ReadWrite.All权限，它能间接实现组的管理操作；或者用委托权限配合管理员上下文来执行组操作——这种设计其实是安全上的妥协，要求必须有管理员用户的上下文才能操作组，避免完全无用户上下文的应用拥有组的控制权。

如果你的业务场景确实需要专门的组应用权限，建议提交需求反馈给Azure AD团队，很多权限的开放都是基于开发者的实际需求推进的。

内容的提问来源于stack exchange，提问作者Ben Menesi