Azure API Management服务主体无法获取跨组织资源组问题咨询

不需要注册特定资源提供程序即可获取其他组织（Azure AD租户）的资源组相关信息，你当前无法跨组织访问资源的核心原因是服务主体跨租户鉴权配置错误，和资源提供程序无关。

资源提供程序的实际作用 #

• 资源提供程序是订阅维度的服务开关，仅控制当前订阅是否支持创建、管理对应类型的Azure资源：比如要使用虚拟机需要注册Microsoft.Compute，要使用存储账号需要注册Microsoft.Storage，和跨租户访问鉴权属于完全独立的两个配置层面。
• 你已经可以正常读取单个组织下的订阅、资源组信息，说明负责资源组、订阅资源查询的核心资源提供程序Microsoft.Resources已经处于正常注册状态，不需要额外做资源提供程序层面的操作。

你当前配置的问题排查点 #

• 权限类型配置错误：你当前给服务主体配置的两个权限全部为user_impersonation（委托权限），这类权限仅支持「用户登录后，服务主体代用户发起请求」的交互式调用场景，不支持服务主体通过客户端凭证流直接发起非交互式调用。如果是服务主体独立调用Azure管理接口，需要配置应用程序（Application）类型的权限，而非委托权限。另外你配置的Dynamics CRM权限和Azure资源查询完全无关，不影响资源组读取结果。
• 应用注册租户类型不匹配：跨租户访问的前提是你的服务主体对应的应用注册，受支持账户类型必须设置为「任何组织目录中的账户」（多租户应用），且需要在目标租户完成管理员同意流程，否则目标租户根本无法识别来自外部租户的这个服务主体。
• 角色分配错误：虽然你提到已经给服务主体在目标订阅分配了Reader角色，但跨租户场景下添加角色分配时，必须选择「来自其他目录的用户、组或服务主体」类型，通过服务主体的应用（客户端）ID精确查找添加，直接搜索显示名很容易误选目标租户内同名的其他目录对象，导致权限实际不生效。
• 认证令牌配置错误：跨租户调用接口时，获取认证令牌的请求必须发往目标租户的Azure AD认证端点，令牌受众必须设置为https://management.azure.com/，如果仍然用原租户端点拿令牌，会直接被目标租户的接口拒绝访问。

验证方法 #

完成以上配置修正后，不需要额外注册其他资源提供程序，直接调用资源组列表查询接口即可正常返回结果：

GET https://management.azure.com/subscriptions/{目标订阅ID}/resourcegroups?api-version=2021-04-01

内容的提问来源于stack exchange，提问作者Luis Leon Gonzalez