azure - New-AzureADServiceAppRoleAssignment 在没有全局管理员帐户的情况下使用时抛出错误

Question

我正在使用将.Net Core其托管在Azure Portal. 现在在某个地方我需要Active Directory在应用程序中使用获取登录用户（用户）的详细信息。因此，我正在使用Microsoft Graph API. 因此，要设置此权限，我正在使用Get-AzureADServiceAppRoleAssignment命令。Global Administrator当我使用帐户访问权限运行此命令时，它工作正常。Global Administrator但是当我在没有帐户访问权限的情况下使用它时会引发错误 。错误：Service_InternalServerError。如下图所示。

任何人都有如何摆脱这个错误的想法或建议，有没有办法在没有全局管理员访问权限的情况下运行这个脚本？

任何帮助或建议将不胜感激！谢谢

Answer 1

将云应用程序管理员目录角色分配给受影响的用户，然后重试。

Answer 2

这里的问题是您不一定需要全局管理员，但应用程序/用户需要一个至少具有角色分配权限的角色。因此您可以在订阅级别创建具有角色分配权限的自定义角色。你需要“Microsoft.Authorization/roleAssignments/ ”，也许“Microsoft.Management/managementGroups/read”“Microsoft.Authorization/roleDefinitions/ ”

但是，我想指出，如果应用程序具有角色分配权限，它可以在技术上为自己分配一个全局管理员角色。所以它不会增加任何额外的真正安全性。