错误：删除 ID 为 XXX 的用户时出错 graphrbac.UsersClient#Delete Authorization_RequestDenied - 权限不足，无法完成操作

Question

我已经创建了我的服务原则并添加了所有必要的权限，以便在我的 Azure Active Directory 中读取和写入 用户。

我在上面运行terraform plan 和terraform apply，它运行良好。

但是，每当我尝试销毁 (terraform destroy) 资源 (azuread_user) 以删除 AD 用户时，我都会收到此错误

我做错了什么？任何帮助将不胜感激。

---

更新：添加.tf文件

provider "azuread" {
  version = "~> 0.11"
  subscription_id= var.ARM_SUBSCRIPTION_ID
  client_id       = var.ARM_CLIENT_ID
  client_secret   = var.ARM_CLIENT_SECRET
  tenant_id       = var.ARM_TENANT_ID
}

resource "azuread_user" "main-user" {
  user_principal_name = var.email
  display_name        = var.name
  password            = var.password
}

Answer 1

看起来与服务主体拥有的权限有关的问题，我建议创建一个具有 Azure AD 完全权限的新问题。检查此理论的一种方法是尝试使用 az CLI 删除由 terraform 创建的用户。

首先，使用现有的服务主体：

az login --service-principal --username APP_ID --password PASSWORD --tenant TENANT_ID

稍后，尝试通过运行删除用户：

az ad user delete --id %USER_ID%

如果命令失败，请创建新的服务主体并将管理员权限分配给 Azure Active Directory。

另外，来自terraform docs - NOTE: If you're authenticating using a Service Principal then it must have permissions to Directory.ReadWrite.All within the Windows Azure Active Directory API

Answer 2

我对你的脚本进行了测试，发现如果我们在Azure AD Graph下只给Directory.ReadWrite.AllDelegated权限，就只能创建AAD用户。当我尝试使用terraform destroy 删除它时，我得到了和你一样的错误。

所以我尝试了另一种方法：将 全局管理员 角色分配给 Azure 门户中的服务主体。这样我就可以成功删除用户了。

在此处查看参考：Method 1: Directory Roles (recommended)。