如何限制Microsoft Graph仅更新特定组的用户？

Question

我是Microsoft Graph的新手，但是喜欢使用API​​让新用户激活他们的帐户并让他们设置密码。

前提条件：该帐户在Azure AD中是已知的。

步骤：

1. 我们让用户输入“激活码”
2. 如果识别出代码：
3. 我们的应用程序（使用Graph API）设置帐户的初始密码
4. 我们的应用程序将用户登录到他的帐户
5. 我们的应用程序将用户重定向到密码重置页面
6. 用户设置自己选择的密码

问题：Graph API将在某些系统帐户下运行。我们如何限制该系统帐户，因此该API仅可用于更新普通用户的帐户？它可能无法更新系统帐户或服务帐户。实现这一目标的最佳方法是什么？我猜是在Azure AD中吗？

这也行吗？有安全隐患吗？

在此先感谢您的帮助！