无法为Teams用户创建Communication访问令牌：服务主体缺失问题求助

可能的原因 #

• 服务主体权限不匹配：你创建的订阅级Owner角色无法覆盖Azure Communication Services（ACS）的特定服务权限逻辑，ACS需要针对具体ACS资源实例授予Communication Services Contributor这类针对性角色，而非仅订阅级RBAC权限。
• 环境配置未生效：示例代码读取的客户端ID、租户ID、客户端密钥可能未更新为新创建的服务主体信息，或者环境变量配置有误，导致实际仍在使用无权限的身份。
• Azure AD租户未注册ACS服务主体：部分受限租户会禁止服务主体自动注册，需要手动在Azure AD的企业应用程序中添加ACS对应的服务主体，确保租户认可该服务的访问权限。
• 服务主体同步延迟：新创建的服务主体可能需要5-15分钟的同步时间，期间权限无法正常生效。

建议的排查操作 #

1. 为新服务主体授予具体ACS资源的针对性权限：

   az role assignment create --assignee <你的SP客户端ID> --role "Communication Services Contributor" --scopes /subscriptions/<订阅ID>/resourceGroups/<资源组名称>/providers/Microsoft.Communication/communicationServices/<ACS资源名称>
   

2. 验证环境变量配置：确认AZURE_CLIENT_ID、AZURE_TENANT_ID、AZURE_CLIENT_SECRET完全匹配新服务主体的信息，且示例代码正确读取这些变量。
3. 检查Azure AD企业应用：进入Azure AD控制台的“企业应用程序”，搜索“Azure Communication Services”，若不存在则手动添加该企业应用。
4. 直接测试服务主体权限：执行以下命令登录并尝试ACS操作，排查是代码问题还是权限问题：

   az login --service-principal -u <SP客户端ID> -p <SP密钥> --tenant <租户ID>
   # 之后执行ACS相关命令，比如创建用户
   az communication identity user create --resource-name <ACS资源名> --resource-group <资源组名>
   

内容的提问来源于stack exchange，提问作者Vladyslav Zavalykhatko