拥有Application.ReadWrite.OwnedBy权限的服务主体执行AZ REST PATCH命令遭禁止原因排查

出现Authorization_RequestDenied禁止错误，主要有以下几种可能：

• 服务主体并非目标应用的所有者
  Application.ReadWrite.OwnedBy权限的核心限制是：仅允许服务主体修改自己拥有的应用程序。虽然该权限支持读取应用（部分场景下甚至能读取所有应用），但修改操作必须满足"服务主体是目标应用的所有者"这个前提。如果你的服务主体没有被添加为{OBJECT_ID}对应应用的所有者，执行PATCH时就会触发权限不足错误。

• 配置的是委托权限而非应用权限
  该权限分为两种类型：委托权限（Delegated）和应用权限（Application）。使用az rest通过服务主体调用Graph API时，必须配置应用权限类型的Application.ReadWrite.OwnedBy。如果误配成委托权限，服务主体身份无法触发该权限，自然会返回禁止错误。

• 权限未完全生效
  极少数情况下，Azure AD的权限授予可能存在延迟，即使LIST/GET操作正常，修改权限的生效可能滞后。不过这种情况概率较低，通常等待几分钟即可验证。

内容的提问来源于stack exchange，提问作者Container-Man