无法移除根范围"/"下已删除Service Principal的角色分配，求助

核心原因 #

你碰到的问题本质是：目标appId对应的Azure AD应用程序（Application Object）已经被删除，但RBAC角色分配的记录还遗留着——所以既找不到对应的服务主体（SP依赖应用程序对象存在），也没法重新创建SP（因为底层应用程序对象已经没了）。

解决方法 #

1. 直接通过角色分配ID删除（最省心） #

如果能定位到这条无效的角色分配记录，绕开受让人验证直接删：

• 先列出根范围下所有Owner角色的分配，找到目标记录：

  az role assignment list --scope "/" --role "Owner" --output table
  

• 找到对应记录的Id字段，执行删除：

  az role assignment delete --id <角色分配ID>
  

2. 用PowerShell清理遗留分配（针对隐藏的无效记录） #

如果上面的命令里看不到目标记录，或者需要批量处理，用Azure AD PowerShell操作：

• 安装并导入Azure AD模块：

  Install-Module -Name AzureAD
  Connect-AzureAD
  

• 查询根范围的RBAC分配，过滤并删除无效的受让人记录：

  $roleAssignments = Get-AzureADDirectoryRoleAssignment | Where-Object { $_.RoleDefinitionDisplayName -eq "Owner" }
  foreach ($assignment in $roleAssignments) {
      try {
          Get-AzureADServicePrincipal -ObjectId $assignment.PrincipalId | Out-Null
      } catch {
          # 找不到对应SP的就是遗留分配，直接删除
          Remove-AzureADDirectoryRoleAssignment -ObjectId $assignment.ObjectId
          Write-Host "已清理无效角色分配: $($assignment.ObjectId)"
      }
  }
  

3. 确认应用程序是否真的不存在 #

如果怀疑appId对应的应用程序还存在但状态异常：

• 用appId查询应用程序：

  az ad app show --id <你的appId>
  

• 如果能返回结果，说明应用程序存在但SP未创建，先执行创建：

  az ad sp create --id <你的appId>
  

  之后再尝试删除角色分配即可。

内容的提问来源于stack exchange，提问作者Cyborganizer