使用Ansible Azure.azcollection模块创建Azure AD用户权限不足问题

错误信息 #

FAILED! => {
"changed": false, 
  "msg": "failed to get ad user info Insufficient privileges to complete the operation."
}

场景说明 #

• 通过服务主体（SP）认证，已为其分配User.ReadWrite.All和Directory.ReadWrite.All应用权限
• 使用开启MFA的个人Azure账号执行操作正常，但需在容器环境运行脚本
• 该创建用户操作通过Microsoft Graph可正常完成

所用Ansible任务代码 #

- name: Create user
  azure.azcollection.azure_rm_aduser:
    user_principal_name: "{{ principal_name }}"
    state: "present"
    account_enabled: "True"
    display_name: xxx
    password_profile: Xxxxx12#
    subscription_id: "{{ subscription_id }}"
    client_id: "{{ client_id }}"
    secret: "{{ secret }}"
    tenant: "{{ tenant }}"

解决方法 #

1. 确认权限已完成管理员同意 #

服务主体的应用权限必须由全局管理员或特权角色管理员授予管理员同意，仅添加权限但未完成同意步骤的话，权限不会实际生效。

2. 强制模块使用Microsoft Graph API #

旧版azure_rm_aduser可能默认使用Azure AD Graph而非Microsoft Graph，而你分配的是Microsoft Graph的权限。可以：

• 更新azure.azcollection到最新版本（>=1.14.0），新版本默认适配Microsoft Graph
• 在任务中显式指定api_profile: latest强制切换：

  - name: Create user
    azure.azcollection.azure_rm_aduser:
      user_principal_name: "{{ principal_name }}"
      state: "present"
      account_enabled: "True"
      display_name: xxx
      password_profile: Xxxxx12#
      subscription_id: "{{ subscription_id }}"
      client_id: "{{ client_id }}"
      secret: "{{ secret }}"
      tenant: "{{ tenant }}"
      api_profile: latest
  

3. 验证权限类型与范围 #

确保分配的是应用权限而非委托权限，且权限作用范围覆盖整个租户，而非特定资源子集。

4. 检查密码格式合规性 #

虽然报错提示权限问题，但密码不符合Azure AD规则也可能触发异常。确保密码满足：

• 至少8个字符
• 包含大写、小写、数字、特殊字符中的三种及以上
• 避免使用常见弱密码

5. 补充Azure AD角色权限 #

部分用户创建操作需要服务主体同时拥有Azure AD角色权限（如「用户管理员」），可尝试为服务主体分配对应角色后再测试。

内容的提问来源于stack exchange，提问作者younghoern