Azure Pipeline以服务连接执行PowerShell脚本遇权限不足错误求助

核心原因 #

Azure CLI与Az PowerShell模块对Azure AD资源的访问依赖Microsoft Graph API权限，而非普通Azure RBAC权限。你之前用AzureCLI能成功，是因为两者默认的权限范围存在差异，服务主体大概率缺少Graph API的群组读取权限。

排查与修复步骤 #

• 检查并补充服务主体的Graph API权限

  1. 登录Azure门户，在「Azure AD -> 应用注册」中搜索服务连接对应的服务主体名称
  2. 进入「API权限」页面，确认是否已添加Group.Read.All应用权限（注意是应用权限，不是委托权限）
  3. 若未添加，点击「添加权限」→ 选择「Microsoft Graph」→ 选「应用权限」→ 找到Group.Read.All并添加，最后点击「授予管理员同意」（需全局管理员或权限管理员操作）

• 确认PowerShell任务的服务连接配置
  检查AzurePowerShell@5任务中的「Azure订阅」选项，确保选择的服务连接与AzureCLI任务完全一致，避免选错身份。

• 本地验证权限有效性
  用服务主体身份在本地运行测试命令，确认权限是否生效：

  $tenantId = "<你的租户ID>"
  $clientId = "<服务主体ID>"
  $clientSecret = "<服务主体密钥>"
  $secureSecret = ConvertTo-SecureString $clientSecret -AsPlainText -Force
  $credential = New-Object System.Management.Automation.PSCredential ($clientId, $secureSecret)
  Connect-AzAccount -ServicePrincipal -Credential $credential -Tenant $tenantId
  Get-AzADGroup
  

  若仍报错，说明权限未配置到位；若成功，则排查DevOps任务的其他配置细节。

• 更新Az模块版本
  旧版AzAD模块对权限的要求可能不同，在AzurePowerShell@5任务的「Azure PowerShell Version」中选择「Latest installed version」或指定最新稳定版本。

内容的提问来源于stack exchange，提问作者J Nguyen