作为应用所有者添加Azure AD应用权限时遇Az.MSGraph权限不足错误求助

核心原因 #

你作为应用所有者，默认权限只够管理应用的基础属性，添加API权限属于目录级操作，需要更高阶的目录角色权限，这是导致报错的关键。

具体排查与解决步骤 #

1. 确认登录账号的目录角色 #

登录Azure CLI/PowerShell的账号必须拥有以下至少一种角色：

• 应用程序管理员：可完全管理所有企业应用和应用注册
• 云应用程序管理员：管理所有企业应用和应用注册（除基础属性外）
• 全局管理员：拥有最高权限（仅临时排查使用，不建议长期持有）

2. 验证CLI登录上下文 #

先确认当前登录的账号和租户是否正确：

az account show

如果租户或账号不符，重新指定租户登录：

az login --tenant <你的租户ID>

3. 检查命令参数正确性 #

确保命令里的应用ID、API ID、权限ID等参数无误，以Azure CLI命令为例，正确格式如下：

az ad app permission add --id <你的应用注册ID> --api <目标API的应用ID> --api-permissions <权限ID>=<权限类型，如Scope或Role>

举个实际例子（添加Microsoft Graph的User.Read权限）：

az ad app permission add --id xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx --api 00000003-0000-0000-c000-000000000000 --api-permissions e1fe6dd8-ba31-4d61-89e7-88639da4683d=Scope

4. 排查管理员同意限制 #

如果租户设置了管理员同意权限策略，可能限制了普通管理员添加高权限API权限，需要全局管理员检查：

• 进入Azure AD门户 → 企业应用 → 权限管理 → 管理员同意设置
• 确认是否允许指定角色的管理员发起权限同意请求

5. 用门户操作验证 #

先通过Azure AD门户手动添加权限，验证是否是账号权限问题：

1. 进入Azure AD门户 → 应用注册 → 你的应用 → API权限
2. 点击「添加权限」，选择目标API，勾选所需权限后完成添加
   如果门户操作成功，说明是命令参数或CLI版本问题（建议升级CLI到最新版）；如果门户也失败，那就是账号缺少必要的目录角色权限。

内容的提问来源于stack exchange，提问作者Dave061