Как в Azure AD настроить и прочитать основной адрес электронной почты пользователя с помощью PowerShell (например, Set-AzureADUser и Get-AzureADUser)?

Теперь можно настроить адрес электронной почты для аутентификации через API-интерфейс бета-версии Microsoft Graph. См. здесь.

В настоящее время это можно сделать только с помощью делегированных разрешений в приложении Azure AD. Таким образом, пользователь должен пройти аутентификацию перед внесением каких-либо обновлений.

Ниже приведен пример кода с использованием PowerShell. Обратите внимание, что большая часть этого относится к получению токена доступа. Только последние 3 строки относятся к добавлению аутентификационного электронного письма пользователю.

$AzureTenantId = <YourTenantId>
$AzureAppId = <YourAzureADApplicationId> #The application needs to have appropiate delagated permissions set
$UserName = '[email protected]'
$UserAuthEmail = '[email protected]'

#Get token by getting user to authenticate with a device code
$Resource = "https://graph.microsoft.com/"

$DeviceCodeRequestParams = @{
    Method = 'POST'
    Uri    = "https://login.microsoftonline.com/$AzureTenantId/oauth2/devicecode"
    Body   = @{
        client_id = $AzureAppId
        resource  = $Resource
    }
}
$DeviceCodeRequest = Invoke-RestMethod @DeviceCodeRequestParams

Write-Host "A browser window will launch in 5 seconds. Enter the code $($DeviceCodeRequest.user_code) to authenticate. You should just be able to paste it." -ForegroundColor Yellow
Set-Clipboard $DeviceCodeRequest.user_code
Start-Sleep -Seconds 5
Start $DeviceCodeRequest.verification_url

Pause

$TokenRequestParams = @{
    Method = 'POST'
    Uri    = "https://login.microsoftonline.com/$AzureTenantId/oauth2/token"
    Body   = @{
        grant_type = "urn:ietf:params:oauth:grant-type:device_code"
        code       = $DeviceCodeRequest.device_code
        client_id  = $AzureAppId
    }
}
$TokenRequest = Invoke-RestMethod @TokenRequestParams
$Token = $TokenRequest.access_token

#Set the email authentication
$Headers = @{Authorization = "Bearer $Token"}
$BodyJson = "{`"emailAddress`": `"$UserAuthEmail`"}"
Invoke-RestMethod "https://graph.microsoft.com/beta/users/$UserName/authentication/emailMethods" -Method POST -ContentType application/json -Headers $Headers -Body $BodyJson

На снимке экрана этот пользователь выглядит как синхронизированный пользователь в гибридной установке без почтового ящика.

Если у пользователя был почтовый ящик, будет заполнен основной адрес, поскольку я предполагаю, что у пользователя нет адреса, поскольку у него нет почтового ящика.

Если это пользователь синхронизации, вам нужно будет обновить информацию в локальном AD и позволить ему синхронизироваться с Azure.

Надеюсь это поможет.

Поле электронной почты для аутентификации и телефон для аутентификации пока не настраиваются в PowerShell.

Подробнее в этом сообщении на форуме MSDN: https://social.msdn.microsoft.com/Forums/en-US/52c9b994-a41f-4072-8974-cbccd699dbd3/set-and-read-primary-email-through-powershell-getazureaduser?forum=WindowsAzureAD