azure - 几个 Azure AD。新-MsolServicePrincipal : Access Denied

Question

我想将我的 Azure Active Directory 设置为 SharePoint 2013 Foundation 的身份提供程序。我从属于另一个基础设施(我公司的基础设施)的帐户激活了 Azure 试用版。所以我现在拥有的是:

• 安装了 SharePoint 2013 Foundation 的 Azure VM。由我创建用于测试目的
• Azure Active Directory 是我公司基础设施的一部分。我什至没有任何权限查看它。但我看到它是因为我的公司使用它
• Azure Active Directory，我担任全局管理员(我的广告名称)。由我创建用于测试目的
• 访问控制服务。由我创建用于测试目的

所以按照文章Using Microsoft Azure Active Directory for SharePoint 2013 authentication我收到错误

PS C:\Users\tu1> New-MsolServicePrincipal -ServicePrincipalNames @("https://my-ad-name.accesscontrol.windo
ws.net/") -DisplayName "Test ACS Namespace" -Addresses $replyUrl
The following symmetric key was created as one was not supplied m2XQJAeUKEQztjn/sEDJwy8TbG8jPxpw6cemkm8Fnkw=
New-MsolServicePrincipal : Access Denied. You do not have permissions to call this cmdlet.
At line:1 char:1
+ New-MsolServicePrincipal -ServicePrincipalNames @("https://my-ad-name.accesscon ...
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : OperationStopped: (:) [New-MsolServicePrincipal], MicrosoftOnlineException
    + FullyQualifiedErrorId : Microsoft.Online.Administration.Automation.AccessDeniedException,Microsoft.Online.Admini
   stration.Automation.NewServicePrincipal

这可能是因为我没有 Azure AD 的权限吗？有没有办法仅将访问控制服务与我需要的 AD 连接？

Answer 1

当您使用 Connect-MsolService 连接到 Azure AD PowerShell 时，您用于登录的用户名将定义您正在哪个目录中工作。无法使用外部用户(最初来自一个目录的用户出现在第二个目录中)。

例如，您有用户 <a href="https://stackoverflow.com/cdn-cgi/l/email-protection" class="__cf_email__" data-cfemail="9dfff2ffddfef2f3e9f2eef2b3fef2f0" rel="noreferrer noopener nofollow">[email protected]</a> ，在一个目录中，我们将通过验证的域名 contoso.com 来识别该目录。 。如果<a href="https://stackoverflow.com/cdn-cgi/l/email-protection" class="__cf_email__" data-cfemail="44262b2604272b2a302b372b6a272b29" rel="noreferrer noopener nofollow">[email protected]</a>使用 Azure 门户创建一个新目录(此处通过其初始域名 fabrikam.onmicrosoft.com 进行标识)，第一个用户(和管理员)将是外部用户 <a href="https://stackoverflow.com/cdn-cgi/l/email-protection" class="__cf_email__" data-cfemail="95f7faf7d5f6fafbe1fae6fabbf6faf8" rel="noreferrer noopener nofollow">[email protected]</a> .

为了在 fabrikam.onmicrosoft.com 上下文中连接到 Azure AD PowerShell ，需要在该目录中创建一个新“ native ”用户。例如，如果 <a href="https://stackoverflow.com/cdn-cgi/l/email-protection" class="__cf_email__" data-cfemail="ec8d88818582ac8a8d8e9e85878d81c2838281858f9e839f838a98c28f8381" rel="noreferrer noopener nofollow">[email protected]</a>在 fabrikam.onmicrosoft.com 中创建为管理员，该新用户帐户将能够登录 Azure AD PowerShell 并创建新的服务主体。

注意:您始终可以使用 Get-MsolCompanyInformation 确认您正在工作的目录。 .