Azure授权错误：如何查找未知Client/Object ID对应的对象

直接通过对象ID查询身份 #

• 查询服务主体：

  az ad sp show --id 87c92100-xxxx-xxxx-xxxx-xxxxxxxxxxxx
  

• 查询托管身份（用户/系统分配）：

  az identity show --id 87c92100-xxxx-xxxx-xxxx-xxxxxxxxxxxx
  

• 查询所有Azure AD身份类型（用户、组、SP、托管身份通用）：

  az ad object show --id 87c92100-xxxx-xxxx-xxxx-xxxxxxxxxxxx
  

排查已软删除的服务主体 #

如果上述命令无结果，可能该SP已被软删除，执行以下命令列出所有已删除的SP并过滤：

az ad sp list --show-deleted --query "[?id=='87c92100-xxxx-xxxx-xxxx-xxxxxxxxxxxx']"

验证当前使用的身份 #

需要确认执行AZ CLI/Terraform时实际使用的身份是否为你预期的「Rukmini」：

az account show --query "{user_id: user.id, user_name: user.name}"

如果返回的ID和报错中的87c92100-...一致，说明当前会话用的不是Rukmini，而是这个未知身份，可通过az login切换到正确的SP。

补充：关于Contributor权限报错的说明 #

订阅级Contributor理论上拥有resourcegroups/read权限，出现报错可能是：

• 身份会话未正确切换到Rukmini，实际用了报错的身份
• 订阅存在RBAC权限锁或自定义角色限制了该操作

内容的提问来源于stack exchange，提问作者eliassal