Azure自动化Runbook托管身份创建AD用户权限不足问题求助

我正在通过Azure Automation Runbook结合系统托管身份实现Azure AD用户创建自动化，用于管理身份配置。已知操作账户和托管身份都拥有General Administrators角色，但执行时一直出现权限不足错误，给托管身份添加Owner角色后问题依然存在。

报错信息 #

Error creating user: Error occurred while executing NewUser
Code: Authorization_RequestDenied
Message: Insufficient privileges to complete the operation.
RequestId: 34be9739-4e8a-47f1-b5b3-fa2adb042d8e
DateTimeStamp: Thu, 13 Apr 2023 09:15:30 GMT
HttpStatusCode: Forbidden
HttpStatusDescription: Forbidden
HttpResponseStatus: Completed

执行代码 #

Param(
[Parameter(Mandatory=$true)]
[string]$DisplayName,

[Parameter(Mandatory=$true)]
[string]$UserPrincipalName,

[Parameter(Mandatory=$true)]
[string]$MailNickName,

[Parameter(Mandatory=$true)]
[string]$UsageLocation,

[Parameter(Mandatory=$true)]
[string]$Department,

[Parameter(Mandatory=$true)]
[string]$ConnectionName
)

try{
# Connect to Azure with the system-assigned managed identity
$AzureContext = (Connect-AzAccount -Identity).context

Import-Module AzureAD
#Connect-AzureAD
$azureContext = Connect-AzAccount -Identity
$azureContext = Set-AzContext -SubscriptionName $azureContext.context.Subscription -DefaultProfile $azureContext.context
$graphToken = Get-AzAccessToken -ResourceUrl "https://graph.microsoft.com/"
$aadToken = Get-AzAccessToken -ResourceUrl "https://graph.windows.net"
Connect-AzureAD -AccountId $azureContext.account.id -TenantId $azureContext.tenant.id -AadAccessToken $aadToken.token -MsAccessToken $graphToken.token    

$PasswordProfile = New-Object Microsoft.Open.AzureAD.Model.PasswordProfile
$PasswordProfile.Password = "MotDePasse123!"
$PasswordProfile.ForceChangePasswordNextLogin = $false
$User = New-AzureADUser -AccountEnabled $true `
    -DisplayName $DisplayName `
    -UserPrincipalName $UserPrincipalName `
    -MailNickName $MailNickName `
    -UsageLocation "US" `
    -Department $Department `
    -PasswordProfile $PasswordProfile

Write-Output "User $UserPrincipalName created successfully."
} catch {
Write-Output "Error creating user: $_"
}

排查与修复方案 #

1. 核心权限逻辑问题 #

• General Administrators是Azure RBAC角色：仅管控Azure资源层面的权限，完全不覆盖Azure AD目录内的用户创建等操作权限。Owner角色同样是Azure资源权限，对AD目录操作无效。
• 必须为托管身份分配Azure AD内置目录角色：比如「用户管理员」或「全局管理员」，这类角色才有权限执行Azure AD用户创建操作。
  • 操作路径：Azure AD → 角色和管理员 → 选择对应角色 → 添加分配 → 搜索并选中托管身份。

2. 代码优化要点 #

• 模块版本问题：当前使用的AzureAD是旧版模块，建议迁移至Microsoft Graph PowerShell模块，权限控制更清晰，且支持托管身份直接认证。
• 冗余代码清理：重复执行Connect-AzAccount -Identity、切换订阅上下文的操作对AD用户创建无意义，可删除。
• 权限验证：若坚持使用旧版AzureAD模块，需确保托管身份拥有https://graph.windows.net（旧版AD Graph）的User.ReadWrite.All应用权限。

3. 权限生效延迟 #

Azure AD角色分配通常需要5-15分钟生效，分配后需等待足够时间再测试。

修复后的代码示例（使用Microsoft Graph模块） #

Param(
[Parameter(Mandatory=$true)]
[string]$DisplayName,

[Parameter(Mandatory=$true)]
[string]$UserPrincipalName,

[Parameter(Mandatory=$true)]
[string]$MailNickName,

[Parameter(Mandatory=$true)]
[string]$UsageLocation,

[Parameter(Mandatory=$true)]
[string]$Department,

[Parameter(Mandatory=$true)]
[string]$ConnectionName
)

try{
# 托管身份连接Microsoft Graph
Connect-MgGraph -Identity

$passwordProfile = @{
    Password = "MotDePasse123!"
    ForceChangePasswordNextSignIn = $false
}

$userParams = @{
    AccountEnabled = $true
    DisplayName = $DisplayName
    MailNickname = $MailNickName
    UserPrincipalName = $UserPrincipalName
    UsageLocation = $UsageLocation
    Department = $Department
    PasswordProfile = $passwordProfile
}

New-MgUser @userParams

Write-Output "User $UserPrincipalName created successfully."
} catch {
Write-Output "Error creating user: $_"
}

注意：使用前需在Azure Automation账户中导入Microsoft.Graph.Users模块，并为托管身份分配Microsoft Graph的User.ReadWrite.All应用权限（路径：Azure AD → 应用注册 → 托管身份的API权限）。

内容的提问来源于stack exchange，提问作者Rouba Bejaoui