Azure DevOps管道中服务主体执行Power App管理员命令遇阻

问题背景 #

我正在构建Azure DevOps管道，实现Power App解决方案的自动部署。部署流程中需要在DevOps管道内通过PowerShell管理员模块运行脚本，给解决方案内的应用指定用户列表分配访问权限。

已完成操作 #

已成功通过服务主体身份运行绕过API许可的管理员PowerShell命令：

Set-AdminPowerAppApisToBypassConsent -EnvironmentName $EnvironmentId -AppName $AppId

遇到的问题 #

执行以下命令时出现异常：

Get-UsersOrGroupsFromGraph -SearchString $EmailAddress

Set-AdminPowerAppRoleAssignment -PrincipalType "User" -PrincipalObjectId $UserId -RoleName $UserPermission -AppName $AppId -EnvironmentName $EnvironmentId

普通用户账户运行这两个命令完全正常，但服务主体运行就出问题。想确认：

• 是否服务主体无法运行这些命令？
• 还是服务主体需要配置特定权限？
• 如果有限制，有没有替代API可以通过服务主体实现相同功能？

更新 #

发布问题后，Set-AdminPowerAppRoleAssignment命令已可通过服务主体正常执行。

问题分析与解决建议 #

针对Get-UsersOrGroupsFromGraph

这个命令本质是调用Microsoft Graph查询用户/组数据，服务主体必须配置以下Microsoft Graph应用权限且需完成管理员同意：

• User.Read.All：允许读取所有用户信息
• Group.Read.All：允许读取所有组信息

配置步骤：

1. 在Azure Active Directory中找到目标服务主体
2. 进入「API权限」页面，点击「添加权限」选择「Microsoft Graph」
3. 选择「应用权限」，搜索并勾选上述权限
4. 点击「授予管理员同意」完成权限配置

针对Set-AdminPowerAppRoleAssignment

既然现在已能正常运行，说明之前的问题是服务主体缺少Power Apps相关的管理员权限。确保服务主体拥有以下角色之一即可：

• Power Platform管理员
• Dynamics 365管理员
• 全局管理员

替代方案（若Get-UsersOrGroupsFromGraph仍无法运行）

可以直接调用Microsoft Graph API替代该命令获取用户ID，示例代码如下：

# 获取服务主体的Graph访问令牌
$token = (Get-AzAccessToken -ResourceUrl "https://graph.microsoft.com").Token

# 通过邮箱查询用户信息
$userResponse = Invoke-RestMethod -Uri "https://graph.microsoft.com/v1.0/users?`$filter=mail eq '$EmailAddress'" `
                                  -Headers @{Authorization = "Bearer $token"}

$userId = $userResponse.value[0].id

拿到$userId后即可正常传入Set-AdminPowerAppRoleAssignment命令使用。

内容的提问来源于stack exchange，提问作者ym185