Azure B2C租户自动化应用注册授权时遇未授权错误求助

使用拥有Privileged Role Administrator角色的服务主体自动化完成Azure AD应用注册、添加权限并授予管理员同意操作时，执行az ad app permission admin-consent命令始终抛出未授权错误，错误信息显示协议验证失败（S2S17000: SAL无法验证协议）。当前环境为B2C租户，已配置所需权限仍无法解决。

相关脚本 #

param(
    [string] [Parameter(Mandatory = $true)] $tenantId,
    [string] [Parameter(Mandatory = $true)] $appName,
    [array] [Parameter(Mandatory = $true)] $replyUrls,
    [string] [Parameter(Mandatory = $true)] $samlMetadataUrl,
    [string] [Parameter(Mandatory = $true)] $clientId,
    [string] [Parameter(Mandatory = $true)] $clientSecret,
    [string] [Parameter(Mandatory = $true)] $identifiersurl
)

# 登录Azure CLI
Write-Output "通过服务主体登录Azure CLI..."
$azLoginResult = az login --service-principal --username $clientId --password="$clientSecret" --tenant $tenantId --allow-no-subscriptions

if ($LASTEXITCODE -ne 0) {
    Write-Error "登录Azure CLI失败。错误信息: $azLoginResult"
    exit 1
}
Write-Host "成功登录Azure CLI。"

# 检查应用是否已存在
Write-Host "检查应用是否已存在..."
$appId = az ad app list --display-name $appName --query "[0].appId" -o tsv
if (-not $appId) {
    Write-Host "应用不存在，创建新应用..."
    try {
$appId = az ad app create --display-name $appName --sign-in-audience AzureADMyOrg --is-fallback-public-client true --web-redirect-uris $replyUrls --identifier-uris $identifiersurl --required-resource-accesses "C:\my_workspace\Repo\ODP\usmsb2cnp.Json" --query "appId" -o tsv 2>&1
    } catch {
        Write-Error "创建Azure AD应用失败。"
    }
} else {
    Write-Host "应用已存在，跳过创建步骤。"
}

# 检查服务主体是否已存在
Write-Host "检查服务主体是否已存在..."
$spId = az ad sp list --filter "displayName eq '$appName'" --query "[0].id" -o tsv
if (-not $spId) {
    Write-Host "服务主体不存在，创建新服务主体..."
    try {
        az ad sp create --id $appId | Out-Null
        $spId = az ad sp list --filter "displayName eq '$appName'" --query "[0].id" -o tsv
    } catch {
        Write-Error "创建服务主体失败。"
    }
} else {
    Write-Host "服务主体已存在，跳过创建步骤。"
}

# 添加SAML元数据URL
az ad app update --id $appId --set samlMetadataUrl=$samlMetadataUrl --set tags="['WindowsAzureActiveDirectoryIntegratedApp']"
sleep 10
# 授予管理员同意
Write-Output "为API权限授予管理员同意..."
az ad app permission admin-consent --id $appId

错误信息 #

az : ERROR: Unauthorized({"ClassName":"System.Security.Authentication.AuthenticationException","Message":"S2S17000: SAL was unable to validate the protocol. 
Validation failure: 'ValidationCompleted; UnsupportedAuthenticationScheme; UnsupportedAuthenticationScheme; UnsupportedAuthenticationScheme'","Data":null,"Inner
Exception":null,"HelpURL":null,"StackTraceString":null,"RemoteStackTraceString":null,"RemoteStackIndex":0,"ExceptionMethod":null,"HResult":-2146233087,"Source":
null,"WatsonBuckets":null})
At line:1 char:1
+ az ad app permission admin-consent --id $APP_ID
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : NotSpecified: (ERROR: Unauthor...Buckets":null}):String) [], RemoteException
    + FullyQualifiedErrorId : NativeCommandError

解决方案 #

问题根源 #

Azure B2C租户中，az ad app permission admin-consent命令不支持通过服务主体执行，该操作要求交互式用户登录完成同意，需改用Microsoft Graph API实现自动化。

替代实现步骤 #

1. 调整服务主体角色：确保服务主体拥有Application Administrator或Cloud Application Administrator角色（仅Privileged Role Administrator角色不足以执行Graph API的权限同意操作）。
2. 配置服务主体Graph权限：给服务主体添加Application.ReadWrite.All和Directory.Read.All的应用权限，并手动完成这些权限的管理员同意。
3. 替换CLI命令为Graph API调用：修改脚本中授予管理员同意的部分，使用以下代码替代az ad app permission admin-consent --id $appId：

# 获取Microsoft Graph访问令牌
$graphToken = az account get-access-token --resource https://graph.microsoft.com --query accessToken -o tsv

# 获取资源服务主体ID（示例为Microsoft Graph，需根据实际权限的资源调整）
$resourceSpId = az ad sp list --filter "displayName eq 'Microsoft Graph'" --query "[0].id" -o tsv

# 构造权限同意请求体（需替换appRoleId为实际要同意的权限ID）
$consentBody = @{
    principalId = $spId
    resourceId = $resourceSpId
    appRoleId = "df021288-bdef-4463-88db-98f22de89214" # 示例为User.Read.All的权限ID，需替换为目标权限ID
} | ConvertTo-Json

# 调用Graph API完成管理员同意
Invoke-RestMethod -Uri "https://graph.microsoft.com/v1.0/servicePrincipals/$spId/appRoleAssignments" `
                  -Method Post `
                  -Headers @{Authorization = "Bearer $graphToken"} `
                  -Body $consentBody `
                  -ContentType "application/json"

额外注意事项 #

• B2C租户与普通Azure AD租户的CLI命令行为存在差异，自动化操作优先使用Microsoft Graph API。
• 脚本中原Handle-Error函数未定义，需替换为标准错误处理逻辑（如Write-Error）。
• 权限ID（appRoleId）需根据实际要同意的API权限查询获取，可通过az ad sp show --id $resourceSpId --query "appRoles"命令查看资源的所有权限ID。

内容的提问来源于stack exchange，提问作者GUNDRAJU KRUPA VANI