如何使用 Azure Active Directory Graph API 获取属于 AppRole 的所有用户

我一生都无法弄清楚如何查询 Azure Active Directory 的图形 API 来获取属于特定 AppRole 的所有用户。

首先我尝试了类似的东西：

client.Users.Where(u => u.AppRoleAssignments.Any(r => r.Id == "some-guid"));

但这不会编译，因为 AppRoleAssignments 是一个 IPgedCollection，因此您不能对其执行 .Any 之类的操作。

然后我尝试查询我的应用程序的 ServicePrincipal 中的所有 AppRoleAssignments：

var servicePrincipal = await client.ServicePrincipals
    .Expand(p => p.AppRoleAssignments)
    .Where(p => p.AppId == "my app id guid")
    .ExecuteSingleAsync();

But servicePrincipal.AppRoleAssignments固执地空手而归，似乎无视我的.Expand。

我还尝试直接通过 ID 获取 ServicePrincipal 并执行 Expand：

var principal = await client.ServicePrincipals
    .GetByObjectId("feeaae9c-40a3-48a3-8a01-b87343f5ecfc")
    .Expand(p => p.AppRoleAssignments)
    .ExecuteAsync();

但这只会导致错误（如果删除 .Expand，错误就会消失）：

{"odata.error":{"code":"Request_BadRequest","message":{"lang":"en","value":"Invalid object identifier 'feeaae9c-40a3-48a3-8a01-b87343f5ecfc()'."}}}

这是一个奇怪的错误，因为错误消息中的对象 id 带有后缀“()”，而我的代码没有添加该后缀。

我错过了一些明显的东西吗？当然有一种简单的方法可以让所有用户都加入 AppRole 中吗？

我终于找到答案了。为了从 ServicePrincipal 中获取 AppRoleAssignments，您需要直接查询列表，而不是尝试将其从 ServicePrincipal 中扩展：

await client.ServicePrincipals
    .GetByObjectId(servicePrincipalObjectId)
    .AppRoleAssignedTo
    .ExecuteAsync()

然后，您必须手动遍历用户和组才能获得最终的用户列表。这可能会导致许多 Graph API 服务调用，具体取决于组和用户的数量，因此请注意！

Edit:正如 Dan Kershaw 在评论中提到的那样，角色仅适用于直接链接到 AppRoles 的组中的用户。子组不继承角色。

我已经在要点中提出了完整的解决方案here https://gist.github.com/daniel-chambers/5e3702d40cd16c767ed1因为它实在是太大了，无法放在这里。