作为Azure账户所有者无法为应用授予管理员权限的问题求助

核心结论 #

Azure账户所有者可以完成管理员权限授予操作，但需要同时拥有Azure AD租户内的全局管理员（或等效权限角色，如应用程序管理员、云应用程序管理员）身份。

问题根源 #

你当前仅持有Azure订阅的所有者角色，该角色仅管控订阅内的资源，不覆盖Azure AD租户的身份管理权限。此前在原租户操作正常，是因为你默认拥有该租户的全局管理员权限；而将应用注册到主账户对应的租户后，你的账户在该租户内仅为普通用户身份，导致无法执行管理员同意、角色分配等操作。

具体解决步骤 #

1. 确认当前账户在目标租户的角色 #

• 登录Azure门户，进入Azure Active Directory
• 切换到主账户对应的租户
• 进入用户→找到自身账户→查看已分配的角色
  • 若未显示全局管理员、应用程序管理员类角色，即为权限缺失的直接原因

2. 自行提升Azure AD角色（无需其他账户） #

作为订阅所有者，且订阅关联目标Azure AD租户，可通过PowerShell或Azure CLI直接为自身分配全局管理员角色：

PowerShell操作

# 登录目标租户
Connect-AzureAD -TenantId <你的租户ID>
# 获取当前用户对象ID
$user = Get-AzureADUser -Filter "UserPrincipalName eq '<你的用户主体名称（UPN）>'"
# 获取全局管理员角色对象
$role = Get-AzureADDirectoryRole | Where-Object {$_.DisplayName -eq "Global Administrator"}
# 为用户分配角色
Add-AzureADDirectoryRoleMember -ObjectId $role.ObjectId -RefObjectId $user.ObjectId

Azure CLI操作

# 登录目标租户
az login --tenant <你的租户ID>
# 获取当前用户ID
user_id=$(az ad user show --id <你的用户主体名称（UPN）> --query id -o tsv)
# 获取全局管理员角色ID
role_id=$(az ad directory-role list --filter "displayName eq 'Global Administrator'" --query [0].id -o tsv)
# 分配角色
az ad directory-role member add --role $role_id --member-id $user_id

3. 完成权限授予 #

角色分配生效后，回到应用注册页面：

• 在客户端Web应用的API权限页面，点击授予管理员同意（此时按钮将不再呈灰色）
• 确认同意后，客户端应用即可获得所需的API作用域权限

额外提示 #

• 后续删除原租户前，需确保原租户内所有应用、用户等资源已完全迁移，且无关联付费服务
• 操作完成后，若无需长期持有全局管理员权限，可移除该角色，遵循最小权限原则

内容的提问来源于stack exchange，提问作者OJB1