我正在尝试删除特定对象 id 的分配。以下是我得到的错误。 我在 AD 中附加了我的服务主体访问级别。
当我尝试使用 devops 管道执行相同的命令时，我得到了不同的错误。
要删除访问权限，我的服务主体在 API 权限中需要什么权限 部分只读可以工作吗？以及为什么我遇到 could.execption 错误。任何建议。
【问题讨论】：
标签： azure-active-directory azure-powershell azure-ad-graph-api paas
Joy Wang 是正确的，但我想补充一点，如果不是绝对需要，您不应该将服务主体所有者授予整个订阅。这是一个安全考虑。 更好的方法是在订阅中创建一个自定义角色，仅具有您需要的权限。在这种情况下，让它在自定义角色中工作所需的一些权限是：
"Microsoft.Management/managementGroups/read"
"Microsoft.Authorization/roleAssignments/*"
"Microsoft.Authorization/roleDefinitions/*"
另外，我尝试在没有 directory.read.all 的情况下使用服务主体运行 get-azroleassignment，只要您具有订阅中分配的角色权限，它就可以工作。这让我相信 powershell get-add-remove-azroleassignment 根本不使用图形 api 权限。
更新 正如joy所说，自定义角色可能没用，因为它在技术上可以赋予自己所有权，但是，这里证明您不需要服务主体的 api 图权限来执行此操作：
【讨论】：
Get/Remove-AzRoleAssignment和服务主体时，它必须需要AzureAD中的权限，API权限或目录角色都可以。
I tried to run get-azroleassignment without directory.read.all with a service principal, and it works as long as you have the role permissions assigned in the subscription. 我想你是用用户账户测试的，不是服务主体，普通会员用户已经有权限调用这个AAD Graph，如果你用服务主体测试，你会得到错误。
Microsoft.Authorization/roleAssignments/*权限的自定义角色分配给用户，用户也可以分配其他角色，例如Owner自己。
我可以重现您的问题，命令Remove-AzRoleAssignment 将调用Azure AD Graph 来验证您传递的$objectid，因此您需要授予Azure AD Graph 的应用程序权限 Directory.Read.All （不是 Microsoft Graph，不是委托权限）。
添加权限后，有一些延迟（30m - 1h），然后测试命令，它可以工作。 （我在本地测试，在cloud shell中也一样）
注意：除了 Azure AD 中的权限外，您的服务主体还需要具有订阅/特定资源范围内的权限，例如servcie 主体是订阅/特定资源范围（在您的情况下为存储帐户）的Access control (IAM) 中的Owner/User Access Admin 角色。如果服务主体没有角色，请按如下方式添加。
在Azure Devops中，不需要用Connect-AzAccount登录（其实在cloud shell中，你也不需要登录，但是如果你想这样做也可以），它会自动登录与服务连接相关的服务主体(Task version >= 4.*)。
因此，请确保您的服务主体的密码正确且连接已验证。要运行Remove-AzRoleAssignment，还要为与服务连接相关的应用注册添加上面的权限。
然后测试它，它可以工作。
【讨论】：