azure - New-AzureADApplicationPasswordCredential 引发 Authorization_RequestDenied

Question

尝试使用 powershell 脚本创建新的客户端 key 。从 powershell ISE 执行 New-AzureADApplicationPasswordCredential 时，出现以下错误:

New-AzureADApplicationPasswordCredential:执行 SetApplication 时发生错误代码:Authorization_RequestDenied消息:权限不足，无法完成操作。请求ID:1234567-abcd-1234-7890-1234567890日期时间戳:2022 年 12 月 12 日星期一 05:21:54 GMTHttpStatusCode:禁止HttpStatusDescription:禁止HttpResponseStatus:已完成

所附图像具有为用于向 AD 进行身份验证的 SP 提供的 API 权限。 SP 具有 AD Graph 和 MS Graph 的读/写访问权限，并且还拥有组织的管理员同意。

Answer 1

我在我的环境中进行了尝试并得到了以下结果:

最初我尝试了相同的命令并得到了相同的错误。

控制台:

确保您尝试登录 Azure 的用户或服务主体至少具有订阅级别的贡献者角色或所有者角色。

转至门户 -> 订阅 -> 访问控制 (IAM) -> 添加角色分配 -> 将贡献者或所有者添加到您的用户或 SP。

此外，请确保用户或 SP 至少具有 应用程序管理员 的 Azure AD 角色。

转到门户 -> Azure-Active-Directory -> 角色和管理员 -> 应用程序管理员 -> 将角色添加到您的用户或 SP。

在我的环境中分配这两个角色后，我成功获得了 Client-Secret。

控制台: