Qual tipo de permissão para o usuário User2 é o mais adequado, pensando que eles têm que ter acesso total aos Recursos do Azure AD, porém sem poder...

A permissão mais adequada para o usuário User2 seria a permissão "Leitor de Diretório" (Directory Reader) no Azure AD. Essa permissão permite que o usuário visualize todos os recursos do Azure AD, mas não permite que ele faça alterações nesses recursos. Dessa forma, o usuário User2 terá acesso total aos recursos do Azure AD, mas não poderá modificá-los.