使用Terraform服务主体创建Azure AD应用时权限不足问题求助

所需权限说明 #

要让Terraform的服务主体能够创建Azure AD应用（应用注册）及客户端密钥，需满足以下条件：

• 必须添加Microsoft Graph API的Application.ReadWrite.All权限，且权限类型为应用权限（不能是委派权限）。
• 该权限必须完成管理员同意授予，否则无法生效。

权限未生效的修复步骤 #

你遇到的权限“未授予”状态问题，核心是操作路径错误，正确流程如下：

1. 登录Azure门户，进入应用注册页面，找到Terraform服务主体对应的应用注册条目。
2. 切换到“API权限”标签页，添加Microsoft Graph的Application.ReadWrite.All应用权限。
3. 点击页面上的“授予管理员同意”按钮，完成权限激活，此时权限状态会更新为“已授予”。

关键验证点 #

• 确认权限类型是应用权限：委派权限仅支持用户身份操作，无法让服务主体以自身身份创建Azure AD应用。
• 确认权限状态显示“已授予”：未完成管理员同意的权限无法被服务主体调用。
• 重新运行Terraform命令，验证创建Azure AD应用及客户端密钥的操作是否正常。

用户提供的相关截图说明 #

• 错误截图：显示创建Azure AD应用时弹出“权限不足”的错误提示
• API权限截图：展示已为服务主体添加的Application.ReadWrite.All权限配置
• 权限授予状态截图：显示权限处于“未授予”的状态
• 应用注册截图：展示Terraform服务主体对应的应用注册信息

内容的提问来源于stack exchange，提问作者ChaitanyaSai