Azure自动化账户托管身份分配API权限的Entra ID内置角色咨询

要通过托管身份执行New-MgServicePrincipalAppRoleAssignment给服务主体分配API权限，最合适的最小权限内置角色是Application Administrator。你测试时出现权限不足，大概率是以下原因导致：

• 角色权限范围限制：分配角色时需将权限范围设为整个租户，如果仅指定了特定应用范围，托管身份无法对其他SPN进行操作。
• Graph权限未正确配置：确保Automation Account的托管身份已被授予Microsoft Graph的Application.ReadWrite.All应用权限（必须是应用权限，而非委派权限），这是执行该Graph API操作的核心权限要求。
• 角色生效延迟：Entra ID角色分配通常需要15-30分钟生效，测试前需等待足够时间让权限同步。

如果需要更严格的权限管控，也可以创建自定义角色，仅包含microsoft.directory/servicePrincipals/appRoleAssignments/allProperties/write权限，完全匹配操作需求，符合最小权限原则。

另外需注意，New-MgServicePrincipalAppRoleAssignment的$AppRoleAssignment参数必须包含三个核心值：

• principalId：目标SPN的ID
• resourceId：待分配API对应的服务主体ID
• appRoleId：要分配的具体API权限ID
  参数错误也可能触发类似权限不足的报错，需仔细核对。

内容的提问来源于stack exchange，提问作者tester81