通过Azure DevOps自动化创建Azure B2C租户时SPN无法工作

问题核心 #

使用Azure DevOps服务主体（SPN）自动化创建Azure B2C租户时出现权限报错：

Failed, "details":[{"code":"DeploymentFailed","target":"/subscriptions/xxxx-xxxx-xxxx-xxxx-xxxxxxxx/resourceGroups/$RG/providers/Microsoft.Resources/deployments/$BWCNAME","message":"At least one resource deployment operation failed. Please list deployment operations for details.","details":[{"code":"BadRequest","message":"You do not have permission to view this directory or page."}]}]}]}]}

而通过带用户名密码的Bicep脚本可正常创建，本质是SPN缺少目录级的高权限——交互式用户默认继承了目录管理员权限，因此能顺利完成操作。

修复步骤 #

• 为SPN分配Azure AD全局管理员角色：B2C租户创建属于目录级操作，仅订阅级角色（如Contributor）无法满足要求，必须具备全局管理员权限才能发起创建流程。
• 确认权限分配范围：确保权限是在目标Azure AD租户上分配，而非仅绑定到订阅，B2C创建的权限验证依赖目录级权限。
• 检查Azure DevOps服务连接：确认服务连接使用的SPN已正确分配上述角色，认证方式选择服务主体（自动）或服务主体（手动），且租户ID、客户端ID、客户端密钥配置无误。
• 手动验证SPN权限：执行以下命令登录并测试部署，排查是权限问题还是DevOps配置问题：

  az login --service-principal -u <SPN客户端ID> -p <SPN密钥> --tenant <租户ID>
  az deployment group create --resource-group <资源组名> --template-file <Bicep文件路径>
  

注意事项 #

• B2C租户创建完成后，可根据需求降级SPN的权限，遵循最小权限原则，避免高权限长期授权。
• 若使用Azure AD Privileged Identity Management（PIM），可给SPN配置全局管理员的资格角色，在需要创建时激活，进一步提升安全性。

内容的提问来源于stack exchange，提问作者GravitySucks