azure - 了解 Azure 服务主体

Question

我想创建一项服务原则，以允许部署到我的订阅下的一个或多个资源。

• 我订阅了 MSDN，每月可以支付 40 英镑的 Azure 费用。
• Azure Active Directory 由我公司维护。
• 我被设置为普通用户
• 我已经通过门户创建了带有 key 的服务原则。
• 当我尝试通过 Octopus Deploy 的 SP 连接时，我收到以下消息:

Unable to verify Azure Account: The client 'xxxx' with object id 'xxxx' does not have authorization to perform action 'Microsoft.Resources/subscriptions/resourcegroups/read' over scope '/subscriptions/xxxx'.

据我现在的理解，SP 位于租户级别。那么这是否意味着我可能没有任何权限来创建具有适当访问权限的 SP 来执行我需要的操作，并且我必须让管理员来执行此操作？

我正在努力理解这种身份验证方法。因此，任何有助于阐明这一切如何结合在一起的信息都将非常感激。

例如

• 我可以将 SP 限制为仅限我的 MSDN 订阅吗？
• 我什至可以将其限制为资源组/资源吗？
• ...

Answer 1

就权限而言，服务主体与普通用户没有什么不同。您的服务主体无权访问该特定订阅。您需要将这些权利授予服务主体。您可以使用 Portal\powershell\cli\SDK 来执行此操作。 Sample link .