关于Logic Apps连接Azure资源管理API所用服务主体的技术问询

托管Logic Apps连接的默认认证方式是通过OAuth弹窗请求授予权限。根据Azure官方文档，这种方式本质是为服务主体（Service Principal）授予委托权限。对于访问Graph API的连接器，租户中存在已配置正确委托权限的对应服务主体：

[图片：Graph API连接器对应的授权服务主体]

但在排查与Azure Resource Management（ARM）API交互的连接器（如Log Analytics、Sentinel、Logic Apps自身相关连接器）时，无法找到对应的等效服务主体。仅能看到名为Azure Logic Apps的服务主体，但该主体未关联任何权限。按照常规认证逻辑，它需要具备user_impersonation委托权限才能访问Azure资源：

[图片：Azure Logic Apps服务主体权限配置界面]

针对上述现象，提出以下问题：

1. 用于通过OAuth连接ARM API的服务主体具体是什么？
2. 若实际使用的是Azure Logic Apps服务主体，为何它能在未配置任何权限的情况下连接ARM API？Azure底层是否存在特殊的认证或权限映射机制？

内容的提问来源于stack exchange，提问作者jfeldzy