azure - 通过 ServicePrincipal 将 Get-AzureRmRoleAssignment 用作应用程序所需的确切权限是什么

Question

我看过帖子like this one使用 Login-AzureRmAccount 登录时，对于允许 ServicePrincipal 调用 Get-AzureRmRoleAssignment 究竟需要什么权限存在混淆。

就我而言，如果我使用 -debug 标志调用 Get-AzureRmRoleAssignment，我可以在 HTTP 响应正文中捕获以下错误:

Body:
{
  "odata.error": {
    "code": "Authorization_RequestDenied",
    "message": {
      "lang": "en",
      "value": "Insufficient privileges to complete the operation."
    }
  }
}

我已为应用程序设置权限如下...首先是 Azure AD 访问:

然后是 Microsoft Graph 访问:

这仍然会给出 authZ 失败错误。我什至尝试过一个实验，我为应用程序提供了每个 API 的所有权限，但这仍然不起作用。

缺少什么？到底需要什么权限才能允许只读编程访问来列出此调用的角色分配？

Answer 1

首先，正如我在这种情况下回答的那样，Get-AzureRmRoleAssignment不仅需要具有 Azure REST API 权限的角色分配的读取访问权限，而且还需要 使用 Azure AD Graph API 读取目录数据权限。添加权限后，

添加 AAD Graph API 权限:

您还需要点击授予权限按钮以获得管理员同意。

添加 Azure REST API 权限:

此外，在为您的 sp 添加 AAD 图形 API 权限之前，请通过从订阅 RBAC(IAM) 为其分配角色(例如贡献者角色)，确保您的 sp 具有 Azure REST API 的权限。

我对此进行了测试并成功了。