使用SPN通过PowerShell在B2C租户中授予管理员权限失败

1. 修正代码变量顺序 #

你的代码中az login依赖的核心变量在登录后才定义，会导致登录时变量为空，直接调整顺序：

# 先定义所有必要变量
$clientId = "xxxx" 
$clientSecret = "xxxx"
$tenantId = "xxxx"
$resourceId = "xxx" 
$scope = "Group.ReadWrite.All"    
$principalId = "目标SPN的对象ID"

# 再执行登录与令牌获取
$azLoginResult = az login --service-principal --username $clientId --password="$clientSecret" --tenant $tenantId --allow-no-subscriptions
$accessToken = (az account get-access-token --resource https://graph.microsoft.com | ConvertFrom-Json).accessToken

2. 确认API端点是否匹配需求 #

你要授予的是B2C租户管理员权限（目录角色），但当前使用的appRoleAssignedTo端点仅用于给服务主体分配其他应用的应用角色，而非目录角色。正确的目录角色分配端点如下：

步骤1：获取目标目录角色的对象ID #

比如全局管理员的角色模板ID是62e90394-69f5-4237-9190-012177145e10，通过以下请求获取角色对象ID：

$roleTemplateId = "62e90394-69f5-4237-9190-012177145e10"
$roleId = (Invoke-RestMethod -Uri "https://graph.microsoft.com/v1.0/directoryRoles?`$filter=roleTemplateId eq '$roleTemplateId'" -Headers $headers).value[0].id

步骤2：调用目录角色分配API #

$body = @{
    "@odata.id" = "https://graph.microsoft.com/v1.0/directoryObjects/$principalId"
} | ConvertTo-Json -Depth 10

Invoke-RestMethod -Uri "https://graph.microsoft.com/v1.0/directoryRoles/$roleId/members`$ref" `
                  -Method Post `
                  -Headers $headers `
                  -Body $body

3. 检查SPN的权限配置 #

• 确保用于登录的SPN已被授予RoleManagement.ReadWrite.Directory或Directory.ReadWrite.All的应用权限（注意是应用权限，不是委派权限），并且已完成管理员同意。
• 在Azure门户中，进入B2C租户对应的Azure Active Directory（非Azure AD B2C模块），找到该SPN，进入「API权限」添加Microsoft Graph的应用权限，点击「授予管理员同意」。

4. 验证核心参数正确性 #

• principalId必须是目标SPN的对象ID，可通过命令获取：az ad sp show --id $clientId --query id --output tsv。
• 若坚持使用appRoleAssignedTo端点，resourceId必须是目标服务主体（如Microsoft Graph）的对象ID，而非客户端ID；appRoleId需通过GET https://graph.microsoft.com/v1.0/servicePrincipals/{resourceId}/appRoles获取该服务主体定义的应用角色ID，而非权限范围ID。

5. 404错误的额外排查点 #

• 确认principalId对应的SPN确实存在于当前B2C租户中。
• 检查Graph API版本是否兼容，v1.0版本对B2C租户的目录角色操作支持正常，避免使用beta版本。

内容的提问来源于stack exchange，提问作者GUNDRAJU KRUPA VANI