Azure门户可见服务主体角色，PowerShell查询无结果求助

DevOps 小满

2026-7-25

问题排查与解决思路

针对你遇到的「Azure门户能看到服务主体（SP）的角色分配，但PowerShell命令查不到结果」的问题，可从以下几个方向排查：

权限不足
Get-MgRoleManagementDirectoryRoleAssignment和Get-AzureADMSRoleAssignment都需要明确的权限才能返回完整结果。使用Microsoft Graph模块时，需确保已授权RoleAssignment.Read.Directory或Directory.Read.All权限；AzureAD模块则需要Directory.Read.All类权限。
验证当前会话权限：
```
Get-MgContext
```
若权限不足，重新登录并指定所需权限：
```
Connect-MgGraph -Scopes "RoleAssignment.Read.Directory", "Directory.Read.All"
```
角色类型混淆
门户的「Roles and administrators」标签会同时展示Azure AD角色和Azure资源（订阅/资源组等）的RBAC角色，但你用的命令仅针对Azure AD角色查询。若自定义角色是分配给SP的Azure资源角色，需用对应命令查询：
- Azure PowerShell模块：
```
Get-AzRoleAssignment -ObjectId "<SP-对象ID>"
```
- Microsoft Graph模块：
```
Get-MgRoleManagementResourceRoleAssignment -Filter "principalId eq '<SP-对象ID>'"
```
命令参数错误
查询特定SP的角色分配时，必须使用SP的对象ID（而非应用ID或显示名称），且需正确设置筛选条件。例如：
```
Get-MgRoleManagementDirectoryRoleAssignment -Filter "principalId eq '<SP-对象ID>'" -All $true
```
若遗漏-Filter或用错ID，会导致无结果返回。
数据同步延迟
门户界面的角色显示有时会比后端数据同步快，刚完成角色分配后可能需要等待10-15分钟，再执行PowerShell命令重试。
角色作用域限制
若自定义角色的作用域是特定OU或资源子集，默认查询可能仅返回全局作用域的分配。需通过-Filter指定作用域条件，或添加-All $true参数确保返回所有匹配结果。