执行New-MgServicePrincipal遇403权限不足，已知方案无效求助

权限是否足够？ #

Cloud Application Administrator角色本身具备创建服务主体的权限（该角色默认拥有Application.ReadWrite.All委派权限，支持租户内服务主体的创建与管理）。订阅Owner是订阅级权限，对租户级的服务主体创建操作无影响，因此权限不足的可能性较低。

其他可能的原因及排查步骤 #

• 确认会话实际权限范围：
  虽然Connect-MgGraph显示认证成功，但可通过以下命令检查当前会话是否获取到了所需权限：

  Get-MgContext | Select-Object Scopes
  

  若输出中没有Application.ReadWrite.All，说明认证时未正确获取该权限，需重新执行Connect-MgGraph并在授权弹窗中确认同意该权限请求。

• 检查租户应用创建限制设置：
  进入Entra ID控制台 → 用户 → 用户设置，查看应用注册区域的「谁可以创建应用程序」选项：

  • 若设置为「无」或仅指定了特定管理员组，且你的账号不在该组内，会导致无法创建服务主体
  • 需将该选项调整为「所有管理员和用户」，或把你的账号添加到允许创建应用的管理员组中

• 排查条件访问策略限制：
  租户可能存在阻止PowerShell操作的条件访问策略：

  • 检查是否有策略要求对Graph API操作进行MFA验证，而你在隐私窗口认证时未完成MFA流程
  • 确认是否有策略限制了当前设备/位置对Graph API的访问

• 尝试用应用权限执行命令：
  若委派权限方式始终失败，可尝试使用应用权限模式（需先创建一个具备Application.ReadWrite.All应用权限的服务主体，需全局管理员账号初始化）：

  # 全局管理员账号执行，创建用于认证的服务主体
  Connect-MgGraph -TenantId "你的租户GUID" -Scopes Application.ReadWrite.All
  $authSp = New-MgServicePrincipal -AppId "你的自定义应用ID"
  # 用该服务主体认证并创建ACS服务主体
  Connect-MgGraph -TenantId "你的租户GUID" -ClientId $authSp.AppId -ClientSecret "你的客户端密钥"
  New-MgServicePrincipal -AppId "1fd5118e-2576-4263-8130-9503064c837a"
  

• 检查租户服务状态：
  极少数情况下，租户的Graph API服务可能存在临时异常，可等待一段时间后重试，或查看微软365服务健康状态确认是否有相关故障。

内容的提问来源于stack exchange，提问作者g.pickardou