Azure 服务主体 - 将成员添加到 AD 组的权限

Question

我为 Azure DevOps 创建了一个服务主体，并尝试通过 DevOps Pipeline 向 AzureAD 组添加新成员。到目前为止，该组仅包含用户。这是已经完成的：

• 我已在 Azure DevOps 中建立了 ARM 服务链接连接。
• 我在 group.readwrite.all 中向 Service Principal 授予了 Active Directory/App registration/SP_name/Microsoft-Graph 的 API 权限
• 我已在 Azure DevOps 的 Azure CLI Shell 中运行脚本：az ad group member add --group XXX-YYY-groupname --member-id 111111-111-111-111-11111

DevOps 管道失败并显示以下消息：ERROR: Insufficient privileges to complete the operation.

在委派 DevOps 服务负责人向我的组添加成员时，我遗漏了什么？

Answer 1

我相信您需要的权限是 GroupMember.ReadWrite.All。从这个link：

<块引用>

允许应用列出组、读取基本属性、读取和更新 登录用户有权访问的群组成员资格。团体 无法更新属性和所有者，也无法删除组。

Answer 2

确保您拥有 Groups Administrator 角色。