Azure Function PowerShell脚本权限问题：Get-MgUser与Connect-ExchangeOnline报错

问题1：Get-MgUser权限不足 #

1. 确认权限类型为应用权限：Azure Function托管标识属于应用身份，必须分配Microsoft Graph的应用权限而非委派权限。检查Azure AD中托管标识的权限配置，确保User.Read.All和Group.ReadWrite.All是应用权限类型，且已完成管理员同意（手动在Azure AD权限界面点击同意，或通过PowerShell执行同意命令）。
2. 等待权限同步：权限分配后通常需要15-30分钟同步到Microsoft Graph，不要立即测试。
3. 优化查询与模块版本：如果仅需获取指定用户，在Get-MgUser命令中明确指定用户ID或UPN，避免全量查询；同时执行Update-Module Microsoft.Graph将Microsoft Graph PowerShell模块更新至最新版本。

问题2：Connect-ExchangeOnline -ManagedIdentity授权失败 #

Exchange Online的托管身份认证需要单独分配Exchange角色，Microsoft Graph权限无法覆盖Exchange相关操作：

1. 用全局管理员账号连接Exchange Online PowerShell：

   Connect-ExchangeOnline -UserPrincipalName your-admin-upn@your-domain.com
   

2. 获取Azure Function托管标识的Object ID：在Azure门户的Function App→身份→系统分配（或用户分配）页面复制该ID。
3. 为托管标识分配Exchange角色（示例分配组管理员角色，足够管理组成员）：

   New-ManagementRoleAssignment -Role "Group Management" -SecurityGroup "<托管标识Object ID>" -RecipientWriteScope "Organization"
   

   若需更细粒度权限，可创建自定义角色，包含Remove-DistributionGroupMember、Remove-SecurityGroupMember等必要命令。
4. 等待10-20分钟让Exchange角色生效，再测试Connect-ExchangeOnline -ManagedIdentity -Organization your-domain.onmicrosoft.com命令。

额外检查项 #

• 确认托管标识已启用系统分配身份（或用户分配身份已正确关联到Function App）。
• 若Function App使用VNet隔离，需确保网络规则允许访问Microsoft Graph和Exchange Online的公共端点。
• 本地模拟测试：用Connect-MgGraph -Identity和Connect-ExchangeOnline -ManagedIdentity验证托管身份的权限是否正常生效。

内容的提问来源于stack exchange，提问作者microsoftdeveloperdesigner