从 azure cli 创建服务主体

【问题标题】：Create service principal from azure cli从 azure cli 创建服务主体
【发布时间】：2019-11-22 15:20:28
【问题描述】：

我正在尝试从 azure cli 创建服务主体。

az login --service-principal -u servicePrincipalGuid -p spPassword --tenant tenantGuid

az ad sp create-for-rbac --skip-assignment

如果我分配给服务主体全局管理员它可以工作，但它不适用于根据文档应该足够的应用程序管理。

我想知道需要哪些角色/权限才能在没有全局管理员的情况下创建服务主体？

【问题讨论】：

【解决方案1】：

我可以重现您的问题，这真的很奇怪，根据我的知识，Application administrator 角色应该可以工作。

命令az ad sp create-for-rbac --skip-assignment创建应用注册成功，但无法创建对应的服务主体。即使我使用下面的命令为应用程序创建服务主体进行测试。

az ad sp create --id '<object-id of the app registration>'

或powershell

New-AzureADServicePrincipal -AppId <object-id of the app registration>

我想知道需要哪些角色/权限才能在没有全局管理员的情况下创建服务主体？

如果你只是想让命令在没有全局管理员的情况下运行，你可以像下面这样添加Azure Active Directory Graph的Application.ReadWrite.All权限，然后它就可以工作了。

【讨论】：