使用PnP PowerShell创建PnPAzureAD应用时遇Bad Request错误

错误场景 #

在PowerShell 7.2中执行以下命令时返回Bad Request错误：

Register-PnPAzureADApp -ApplicationName TestApp -Tenant yourtenant.onmicrosoft.com -Store CurrentUser -Username "yourname@domain.com" -Password (Read-Host -AsSecureString -Prompt "Enter Password")

错误信息：

Register-PnPAzureADApp: {"error":{"code":"Request_BadRequest","message":"A null value was found with the expected type 'Edm.String[Nullable=False]'. The expected type 'Edm.String[Nullable=False]' does not allow null values.","innerError":{"date":"2023-07-31T14:21:28","request-id":"7dbf66db-f159-45dc-b061-7a1dcdc9e323","client-request-id":"7dbf66db-f159-45dc-b061-7a1dcdc9e323"}}}

目标是生成用于Azure Functions的证书，按教程操作后出现该错误，以下是具体排查思路：

1. 核对命令参数的正确性 #

• 匹配目标需求选参数：如果要生成证书用于Azure Functions的应用-only认证，应使用-CertificatePassword而非-Password参数。-Password是账号密码认证的参数，和证书生成逻辑不匹配，可能引发参数传递异常。
• 必填参数无遗漏错误：确认-Tenant是完整正确的租户域名（如yourtenant.onmicrosoft.com），无拼写错误或空格；-Username必须是租户内拥有应用注册权限的账号（不能用外部协作账号）。
• 移除冗余参数测试：尝试省略-Password参数重新运行——生成证书时命令会交互式引导输入必要信息，手动指定可能干扰默认流程。

2. 验证模块与PowerShell版本兼容性 #

• 检查PnP模块版本：执行Get-Module PnP.PowerShell -ListAvailable，确保使用最新稳定版。旧版本可能存在参数映射bug，若版本过旧，运行Update-Module PnP.PowerShell更新。
• 切换PowerShell版本测试：尝试在Windows PowerShell 5.1中执行命令，排除PowerShell 7.2的兼容性问题。

3. 确认账号权限 #

• 确保执行命令的账号拥有Azure AD应用注册权限：需是全局管理员、应用程序管理员或云应用程序管理员角色。可登录Azure门户，在「Azure AD > 角色和管理员」中查看账号的角色分配。
• 手动验证权限：尝试在Azure门户手动创建应用注册，如果也失败，说明是账号权限问题，而非命令本身。

4. 定位具体空值字段 #

• 启用调试日志：执行$DebugPreference = 'Continue'后重新运行命令，查看详细请求日志，找到被标记为null的必填字段。
• 抓包分析请求：用Fiddler等工具捕获命令发送到Azure AD的API请求，查看请求体中缺失的非空字符串字段，针对性修正参数。

5. 简化命令测试 #

• 先运行最简化的命令，逐步添加参数排查：

  Register-PnPAzureADApp -ApplicationName TestApp -Tenant yourtenant.onmicrosoft.com -Store CurrentUser
  

  该命令会交互式引导输入账号和证书密码，排除参数传递导致的空值问题。

内容的提问来源于stack exchange，提问作者Justin Lyon