Azure全局管理员权限异常：无法操作Entra ID及IAM角色分配

• 检查全局管理员角色是否被限制：全局管理员默认拥有Entra ID的完整管理权限，但可能被权限边界或条件访问策略限制。比如管理员账户被设置了权限边界，缩小了可管理的资源范围；或者条件访问策略仅允许特定IP、设备访问Entra ID模块。若存在其他全局管理员账户，可通过其登录查看你的账户权限配置；也可使用PowerShell查询：

  # 连接Microsoft Graph
  Connect-MgGraph -Scopes "Directory.Read.All"
  # 查询用户及分配的角色
  Get-MgUser -UserId "你的用户ID" | Select-Object Id, DisplayName, AssignedRoles
  # 查询详细的角色分配
  Get-MgUserAuthorizationRoleAssignment -UserId "你的用户ID"
  

  确认返回结果中包含全局管理员角色，且无额外权限限制项。

• 验证Entra ID服务健康状态：你遇到的“service connection error”可能是Azure服务故障导致，登录Azure状态页面查看Entra ID（原Azure AD）的服务运行状态，确认是否存在区域性或全局的服务中断。

• 检查账户状态与角色分配：你的账户可能被其他管理员意外修改角色或禁用。可通过PowerShell查询账户状态：

  # 连接Azure AD
  Connect-AzureAD
  # 查询账户启用状态及角色
  Get-AzureADUser -ObjectId "你的用户ID" | Select-Object AccountEnabled, AssignedRoles
  

  若账户被禁用，需其他全局管理员重新启用；若全局管理员角色被移除，需重新分配该角色。

• 排除浏览器会话问题：403错误有时由浏览器缓存的过期会话引发，尝试用隐身模式打开Azure门户，或清除浏览器缓存后重新登录，排查会话冲突或缓存异常的问题。

• 确认当前登录租户：确保你登录的是公司的目标租户，误登录个人租户或其他关联租户会导致权限不匹配。可在Azure门户右上角点击账户信息，查看当前租户名称是否正确。

内容的提问来源于stack exchange，提问作者Eriedor