Azure DevOps流水线通过Bicep创建App Registration权限不足排查

核心问题分析 #

流水线使用的服务主体虽已分配Entra角色，但可能存在权限范围不匹配、Graph API权限缺失、角色未生效等问题，导致无法调用Microsoft Graph创建应用注册。

1. 确认角色分配范围 #

• 检查「Application Developer」和「Cloud Application Administrator」角色的分配范围是否为整个租户：创建应用注册是租户级操作，若角色仅分配到单个应用或特定资源范围，会导致权限不足。
• 操作路径：Entra ID → 角色和管理员 → 对应角色 → 分配记录 → 确认「范围」为「租户」。

2. 配置Microsoft Graph应用权限 #

Bicep部署Microsoft.Graph/applications资源需要服务主体拥有Microsoft Graph的Application.ReadWrite.All应用权限：

• 进入Entra ID → 应用注册 → 流水线使用的服务主体 → API权限 → 添加Microsoft Graph的Application.ReadWrite.All（选择「应用权限」类型），并完成管理员同意。
• 注意：必须使用应用权限，而非委派权限，因为流水线是后台服务身份运行。

3. 检查服务连接配置 #

• 确认Azure DevOps服务连接对应的服务主体身份正确，且未被限制资源范围（若服务连接仅绑定特定资源组，可能无法调用租户级Graph API）。
• 确保服务主体在订阅中拥有足够权限（如参与者），这部分你已能创建其他资源，大概率没问题，但可再次验证。

4. 等待角色生效 #

Entra角色分配后通常需要15-30分钟完全生效，若刚分配角色就运行流水线，可能出现权限延迟，建议等待后重试。

5. 调整Bicep代码属性 #

• 尝试移除uniqueName属性：部分租户对该属性有使用限制，仅保留displayName即可完成应用注册创建。
• 可临时切换API版本到beta（不推荐生产环境）排查是否是API版本兼容性问题：resource clientApp 'Microsoft.Graph/applications@beta'

内容的提问来源于stack exchange，提问作者ste-fu