部署Azure Postgres灵活服务器遇Graph API权限错误，如何排查未知ClientID？

一、定位未知ClientID对应的主体 #

方法1：使用Azure CLI命令 #

直接在终端执行以下命令，替换some_client_id为错误信息中的客户端ID：

az ad sp show --id some_client_id

若返回结果为空，说明该ID属于应用注册而非服务主体，执行：

az ad app show --id some_client_id

命令会返回该主体的名称、类型、创建者等详细信息，快速确认归属。

方法2：通过Azure门户查询 #

1. 登录Azure门户，进入Azure Active Directory
2. 在左侧导航栏选择企业应用程序或应用注册
3. 在顶部搜索框输入some_client_id并回车
4. 搜索结果中会显示匹配的主体，点击进入即可查看完整信息

二、排查并解决权限缺失问题 #

1. 检查Microsoft Graph权限配置 #

找到目标主体后，进入其API权限页面，确认已添加以下PostgreSQL AAD认证所需的应用权限（需管理员同意）：

• Directory.Read.All
• User.Read.All
  若权限缺失，点击添加权限，选择Microsoft Graph，添加对应权限后完成管理员同意操作。

2. 验证租户与权限范围 #

• 确认该ClientID对应的主体确实存在于租户our_tenant_id内，排除外部主体跨租户访问的问题
• 检查你的订阅所有者权限是否覆盖了PostgreSQL服务器所在的资源组/订阅，无RBAC自定义限制导致的权限隔离

3. 重新触发配置 #

完成权限修正后，尝试重新启用PostgreSQL灵活服务器的AAD认证功能，或重新执行部署流程。

内容的提问来源于stack exchange，提问作者sam