使用Microsoft Graph扩展MemberOf时无法填充组

嘿，你这套基于应用权限+RBAC的自有门户Azure AD用户管理方案已经很成熟了！针对你要加的外部用户邀请功能，我结合实际落地经验给你梳理几个核心要点，帮你快速搞定：

• 补全所需的应用权限
  你已经在用应用权限架构，现在要实现邀请功能，需要给你的应用授予User.Invite.All应用权限（注意是应用权限，不是委派权限）。这个权限允许应用以租户身份发起外部用户邀请，完全不需要目标用户访问Azure门户，完美匹配你的需求。

  小提醒：权限添加后一定要让Azure管理员完成管理员同意，否则API调用会因权限不足失败。

• 调用Microsoft Graph API发送邀请
  别用已经退役的Azure AD Graph了，直接用Microsoft Graph API的POST /invitations端点。请求体示例如下：

  {
    "invitedUserEmailAddress": "external.user@example.com",
    "inviteRedirectUrl": "https://your-portal-domain.com/onboarding",
    "sendInvitationMessage": true,
    "invitedUserDisplayName": "External User"
  }
  

  重点把inviteRedirectUrl设为你的自有门户入职页面，这样用户收到邀请邮件后直接跳转到你的平台，彻底绕开Azure门户。

• 在门户内跟踪邀请状态
  调用邀请API后会返回邀请ID和当前状态（比如PendingAcceptance、Accepted），你可以把这些信息存储在门户的数据库中，方便后续管理。如果需要查询实时状态，调用GET /invitations/{invitationId}即可。

• 结合现有RBAC控制邀请权限
  把“发起用户邀请”的权限绑定到你现有应用内的授权角色（比如门户管理员角色）。在门户的业务逻辑里加一层校验：用户点击邀请按钮前，先验证其角色是否具备邀请权限，再触发API调用，确保只有授权用户能使用该功能。

• 闭环处理邀请后的用户生命周期
  当外部用户接受邀请后，Azure AD会自动创建对应的用户对象。你可以通过GET /users/{userId} API获取该用户的信息，同步到门户的用户体系中。后续的禁用、删除等操作也都通过应用权限的Graph API完成，全程在自有门户内实现用户管理闭环。

内容的提问来源于stack exchange，提问作者rickvdbosch