ScubaGear项目优化：替换Entra Id导出提供程序以提高性能

背景与动机

在ScubaGear项目中，Entra Id（原Azure AD）提供程序是M365服务审计过程中性能最慢的组件。随着项目的发展，团队发现通过直接调用Graph REST API而非使用PowerShell模块中的cmdlets，可以显著提升执行效率。这不仅改善了终端用户体验，还能加速自动化流程（如GitHub Actions），同时减少了开发人员的等待时间。

技术实现方案

现有问题分析

当前实现中，ScubaGear使用了三个Microsoft Graph PowerShell模块：

• Microsoft.Graph.Beta.Identity.SignIns
• Microsoft.Graph.Beta.Users
• Microsoft.Graph.Beta.Groups

这些模块虽然功能完善，但在性能上存在瓶颈。通过分析发现，直接调用底层Graph REST API可以绕过中间层，获得更快的响应速度。

改造方案

1. 识别替换目标：首先需要扫描ExportAADProvider.psm1文件，确定需要替换的cmdlets

2. 建立映射关系：为每个cmdlet确定对应的Graph REST URI，例如：

   • Get-MgBetaUser → /beta/users/{id}
   • Get-MgBetaRoleManagementDirectoryRoleEligibilityScheduleInstance → /beta/roleManagement/directory/roleEligibilityScheduleInstances

3. 实现调用转换：将原有的cmdlet调用替换为自定义函数Invoke-GraphDirectly

4. 数据结构适配：由于REST API返回的字段命名与cmdlet返回对象不同（主要是首字母大小写差异），需要调整代码中对这些字段的引用

5. 测试保障：需要同步更新Rego规则集、单元测试和PowerShell测试，确保功能完整性

具体实现示例

以替换Get-MgBetaUser为例：

1. 首先在$GraphEndpoints哈希表中添加映射：

$GraphEndpoints = @{
    "Get-MgBetaUser" = "/beta/users"
    # 其他映射...
}

2. 然后修改原有调用代码：

$graphArgs = @{
    "commandlet" = "Get-MgBetaUser"
    "queryParams" = @{'$UserId' = $ObjectId}
    "M365Environment" = $M365Environment 
}
$AADUser = Invoke-GraphDirectly @graphArgs

3. 注意字段名调整：

• DisplayName → displayName
• OnPremisesImmutableId → onPremisesImmutableId

技术挑战与解决方案

字段命名差异处理

REST API返回的JSON属性通常采用camelCase命名规范，而PowerShell cmdlet返回的对象属性则采用PascalCase。这种差异需要在代码转换时特别注意，确保所有引用点都得到更新。

依赖管理

完成替换后，可以从RequiredVersions.ps1中移除不再需要的PowerShell模块依赖，简化项目部署环境。

测试验证

为确保改造不影响现有功能，需要：

1. 更新Rego规则集中引用的字段名
2. 修改对应的单元测试
3. 进行端到端的功能验证

预期收益

通过这项改造，预计将带来以下改进：

1. 执行速度提升30-50%
2. 减少内存占用（避免加载完整PowerShell模块）
3. 简化部署依赖
4. 提高代码可维护性（直接与底层API交互）

总结

ScubaGear项目通过优化Entra Id导出提供程序的实现方式，展示了如何通过技术重构提升系统性能。这种从高层封装到底层API的直接调用转变，不仅适用于此特定场景，也为类似项目提供了性能优化的参考模式。关键在于保持功能一致性的同时，通过技术选型和实现方式的调整获得性能提升。