Azure AD应用授权请求被拒：Terraform角色配置是否有误？

配置代码 #

resource "azuread_application" "resource_creation" {
  display_name = local.azad_resource_creation_sp_name

  app_role {
    # ensuring app role definition can be assigned to other applications (the service principal)
    allowed_member_types = ["Application"]
    # enabling the app role
    enabled = true 
    # app role description used when the role is being assigned 
    description = "Pre Requisite application role for service principal authentication"
    # app role display name that shows during app role assignment 
    display_name = "Role assigned  - Application.ReadWrite.All"
    # unique identifier of the app role, sourced from https://learn.microsoft.com/en-us/graph/permissions-reference 
    id = "1bfefb4e-e0b5-418b-a88f-73c46d2cc8e9"
  }
}

错误信息 #

Error: Could not create application
with azuread_application.service_connection
on azuread.tf line 14, in resource "azuread_application" "service_connection":

resource "azuread_application" "service_connection" {

ApplicationsClient.BaseClient.Post(): unexpected status 403 with OData error: Authorization_RequestDenied: Insufficient privileges to complete the operation.

用户疑问 #

通过服务主体进行认证，已分配Application.ReadWrite.All角色，参考了Microsoft Graph权限文档。请问是否需要配置app_role_assignment？或者除Application.ReadWrite.All外还需额外应用角色？

1. App Role配置存在明确错误 #

自定义App Role的id必须使用自行生成的唯一GUID，你当前使用的1bfefb4e-e0b5-418b-a88f-73c46d2cc8e9是Microsoft Graph内置权限的ID，这类ID仅适用于微软官方服务，不能用于自定义角色。你可以通过uuidgen命令（Linux/macOS）或工具生成新的GUID替换该字段。

2. 权限问题排查 #

虽然已分配Application.ReadWrite.All，但需确认以下两点：

• 该权限是应用权限（而非委派权限），并且已完成管理员同意：Application.ReadWrite.All属于高权限，必须由全局管理员或应用程序管理员完成同意操作，否则服务主体无法实际使用该权限。
• 检查租户设置：确认租户未限制非管理员创建应用程序（部分租户会禁用普通用户/服务主体创建应用的权限）。

3. App Role Assignment并非当前问题 #

当前错误是创建应用程序时的权限不足，与App Role Assignment无关。App Role Assignment是后续给其他主体（如其他服务主体）分配这个自定义角色时才需要配置的步骤，无需在创建应用阶段设置。

内容的提问来源于stack exchange，提问作者jmhpecds