Azure DevOps部署失败：Azure AD应用注册权限不足求助

1. 为什么无需手动身份验证，仍需在AD中注册应用？ #

其实这个自动注册的应用是服务主体，它是Azure内部实现服务间安全信任的核心身份凭证。当你通过Deployment Center创建CI/CD流水线时，Azure需要一个专属的“系统身份”来替你执行一系列自动化操作：比如从GitHub拉取代码、向Web应用推送部署包、访问Azure相关资源等。这个服务主体不是给你手动登录用的，而是让Azure的各个服务之间能安全地互相调用，所以哪怕你觉得没用到手动身份验证，系统也必须自动创建这个AD应用作为流水线的“身份标识”。

2. 如何解决权限不足的问题？ #

针对Insufficient privileges to complete the operation报错，你可以按以下方案尝试解决：

• 检查账号角色权限：你的Azure账号需要拥有全局管理员或者应用程序管理员角色，才能在Azure AD中注册新应用。如果当前是普通用户账号，默认没有这个权限，得联系AD管理员调整角色。
• 申请专用角色权限：如果拿不到全局管理员权限，可以让AD管理员给你分配应用程序注册者角色——这个角色仅允许用户注册新的AD应用，不会赋予过度的系统权限。
• 手动指定已存在的服务主体：让AD管理员提前帮你创建好一个服务主体（即AD注册应用），然后在Deployment Center的配置步骤里，选择手动指定这个已有的服务主体，而非让系统自动创建，这样就能绕开你自己注册应用的权限要求。
• 确认MSDN订阅权限：部分MSDN订阅可能对AD应用注册有限制，你可以检查订阅的权限设置，或者联系MSDN支持确认是否需要调整订阅的权限范围。

内容的提问来源于stack exchange，提问作者NutsAndBolts