在 Terraform 中使用时，Azure 服务主体获取 "Authorization_RequestDenied"

Question

我有一个在运行 Terraform 脚本时使用的服务主体，它可以完成我需要做的 99% 的工作。不过，我随后需要使用 terraform 运行以下脚本来更新应用程序注册上的属性 - 因为这是唯一可以完成的方法(此处供引用 - https://github.com/hashicorp/terraform-provider-azuread/issues/188 )。

resource "null_resource" "access_token_accepted_version" {
   depends_on = [
   azuread_application.appname
]
provisioner "local-exec" {
command = <<EOF
  az login --service-principal --username ${var.az_client_id} --password 
${var.az_client_secret} --tenant ${var.az_tenant_id}
  az rest \
    --method PATCH \
    --headers "Content-Type=application/json" \
    --uri "https://graph.microsoft.com/v1.0/applications/${azuread_application.appname.id}" \
    --body '{"api":{"requestedAccessTokenVersion":2}}'
EOF
  }
}

Az 登录部分似乎运行成功，但 PATCH 调用将始终导致以下错误 -

ERROR: Forbidden({"error":{"code":"Authorization_RequestDenied","message":"Insufficient privileges to complete the operation."

我想我可以将一项权限添加到服务主体的关联应用程序注册中，但我找不到合适的权限。这是我目前拥有的(有些是需要的，有些是在黑暗中刺伤的)

有人能想出解决这个问题的方法吗？

Answer 1

您需要在 Microsoft Graph 下授予 Application.ReadWrite.All 权限。目前您已在 Azure Active Directory Graph 下授予该权限。

一旦执行此操作，您就不应该收到此错误。