azure - Microsoft Graph 无法通过源自本地 AD 并同步到 Azure 的组/增量报告组成员身份增量

使用组增量功能（此处描述）时，如果这些更改源自本地 AD 环境并同步到 Azure，则不会报告组成员身份更改。如果这些相同的成员资格更改源自 Azure，它们会正确报告为增量。请注意，正确报告添加或删除用户。特别是没有报告的成员资格变更。

这些更改也不会出现在审计跟踪中。其他人也在这里报告了这一点。审计跟踪确实表明其成员资格已更改的组已更新，但所有更改的都是onPremisesLastSyncTime.

以下是重现的一些步骤：

在 AD 中，创建用户和组
设置 AD Connect 以将用户和组导入 Azure
AD Connect 同步
从 Azure获取groups/delta?$expand=members&$deltaToken=latest&$select=displayName令牌
将同步用户移动到 AD 中的同步组
AD Connect 同步
使用上面获得的token
请注意，即使 Azure 中的组成员身份已更改，也不会返回任何组更改

标签： azureazure-active-directorymicrosoft-graph-apimembershipdelta

Microsoft Graph Delta 终结点从 Azure AD 查询信息。

它应该与更改是来自本地还是来自 Azure 无关。只要您在本地所做的更改已成功同步到 Azure，您就可以通过此 API 查询更改。因为此信息存储在 Azure AD 中。

此外，我们已经测试了您描述的场景：在本地 AD 中删除用户。然后在 Azure AD 中删除该用户。Microsoft Graph Delta 记录此用户已被删除，并且该组的成员发生更改。

进行更改后，请确保同步完成。

如果问题仍然存在，强烈建议在 Azure 门户上提出支持票以跟踪您的 Graph 请求。