azure - 客户端凭据可以用于创建服务主体吗？

Question

我有一个已被授予 Application.ReadWrite.OwnedBy 权限的 Azure AD 应用程序。使用客户端凭据流程，我可以通过该应用程序进行身份验证并使用 token 创建另一个应用程序。 (我们将新创建的应用程序命名为“AppTwo”)

我需要“AppTwo”具有仅在应用程序的服务主体下可用的特定设置。因此，在使用 MS Graph API 创建应用程序后，我在 https://graph.microsoft.com/v1.0/servicePrincipals 上调用 POST，使用我用来创建应用程序的客户端凭据 token 。

当我运行此程序时，出现以下错误:

When using this permission, the backing application of the service principal being created must in the local tenant

但是help page对于此操作，表示 Application.ReadWrite.OwnedBy 具有足够的权限。但这似乎也表明我需要应用程序开发人员角色。

但是这个页面说我不这样做:https://learn.microsoft.com/en-us/graph/permissions-reference

它说 Application.ReadWrite.OwnedBy 可以:

Allows the calling app to create other applications and service principals, and fully manage those applications and service principals (read, update, update application secrets and delete), without a signed-in user. It cannot update any applications that it is not an owner of.

我真的需要这个角色才能成为服务主体吗？或者我遇到了其他错误？

Answer 1

对我来说，这是因为我传入了应用程序的 ObjectId。

虽然大多数 MS Graph API 都采用 ObjectId，但这个 API 需要 ClientId(也称为 ApplicationId 或 appId)。