如何通过Microsoft Graph API筛选获取组的RBAC角色分配？

我之前在处理Azure AD组角色权限的时候也碰到过一模一样的问题，现在给你梳理下可行的解决办法：

最优方案：使用组专属的roleAssignments端点 #

其实你可能没注意到，Microsoft Graph API提供了直接获取特定组角色分配的端点，完全不需要去全局列表里筛选。这个端点是官方支持的，效率也更高：

GET https://graph.microsoft.com/v1.0/groups/{groupId}/roleAssignments

这个请求会直接返回指定组的所有角色分配条目，不需要额外的$filter参数，也不用自己处理庞大的全局数据集。

备选方案：手动筛选全局列表（仅作兜底，不推荐） #

如果因为特殊场景无法使用上面的专属端点，那只能手动遍历全局角色分配列表进行筛选。需要注意两个关键点：

• 全局端点GET /roleManagement/directory/roleAssignments的返回结果是分页的，你得遍历完所有分页条目才能确保不遗漏
• 筛选逻辑要检查每个roleAssignment对象的resourceScopes属性，只要其中包含/groups/{your-group-id}这个值，就属于该组的角色分配

举个伪代码示例（以C#为例）：

var allRoleAssignments = new List<RoleAssignment>();
var page = await graphClient.RoleManagement.Directory.RoleAssignments.GetAsync((requestConfiguration) =>
{
    requestConfiguration.QueryParameters.Top = 999;
});

while (page != null)
{
    allRoleAssignments.AddRange(page.Value);
    page = await page.NextPageAsync();
}

var groupRoleAssignments = allRoleAssignments.Where(ra => 
    ra.ResourceScopes.Any(scope => scope == $"/groups/{groupId}")
).ToList();

额外注意事项 #

• 权限要求：不管用哪种方案，都需要Directory.Read.All或Directory.ReadWrite.All的应用权限（或对应的委托权限），确保你的应用已正确授权
• 组范围的角色分配：专属端点只会返回组级别的角色分配，不会包含目录级的全局角色分配，这正好匹配你的需求

内容的提问来源于stack exchange，提问作者dongseok0