PowerShell执行AddServicePrincipalPolicy命令报错问题咨询

报错现象 #

在PowerShell中执行服务主体策略分配命令时触发权限不足报错：

已提前在Azure AD API权限页完成权限配置：

报错根因 #

该报错本质是执行操作的身份上下文持有的权限不满足操作要求，常见触发场景有4种：

• 权限类型选错：添加的是委托权限（Delegated Permission），但当前使用服务主体/非交互方式登录PowerShell，这类场景仅识别应用程序权限（Application Permission），两类权限适用场景完全不通用
• 权限未生效：添加完API权限后未点击「授予管理员同意」，权限处于未激活状态，Azure接口侧不会识别该权限配置
• 接口版本不匹配：使用已废弃的旧版AzureAD模块执行命令，调用的是退役的Azure AD Graph接口，就算配置了正确的Microsoft Graph权限也无法通过校验
• 资源范围权限缺失：用来执行操作的账号/服务主体，没有在策略分配的目标范围（订阅/资源组/管理组）持有所有者或用户访问管理员角色，缺少Azure RBAC层面的策略写入权限

可落地解决步骤 #

1. 修正API权限配置
   进入Azure AD应用注册页，找到当前使用的服务主体对应的应用，打开「API权限」配置页：
   • 移除所有和策略操作相关的委托类权限
   • 找到Microsoft Graph条目，添加对应应用程序权限：如果是分配Azure AD相关策略，添加Policy.Read.All、Policy.ReadWrite.ApplicationConfiguration、Application.ReadWrite.All；如果是分配Azure资源访问策略，额外添加AuthorizationPolicy.ReadWrite.All、RoleManagement.ReadWrite.Directory
   • 点击页面顶部的「授予管理员同意」按钮，等待所有权限的状态更新为「已授予」
2. 校验Azure RBAC角色
   确认执行PowerShell命令的身份，在策略要分配到的目标资源范围（管理组/订阅/资源组）上，已经被授予所有者或者用户访问管理员内置角色，没有这两个角色的话，就算Graph层面权限配置正确，也无法写入策略和服务主体的绑定关系。
3. 替换为最新版官方模块执行操作
   旧版AzureAD模块已经停止维护，先升级到最新版Az和Microsoft Graph模块，清空旧登录上下文后重试：

   # 升级Az模块（适用于Azure资源相关操作）
   Update-Module -Name Az -Repository PSGallery -Force
   # 安装Microsoft Graph模块（适用于Azure AD相关策略操作）
   Install-Module Microsoft.Graph -Scope CurrentUser -Repository PSGallery -Force
   # 清除旧登录凭据
   Disconnect-AzAccount -ErrorAction SilentlyContinue
   Disconnect-MgGraph -ErrorAction SilentlyContinue
   # 重新登录，服务主体登录追加-ServicePrincipal参数传入凭据
   Connect-AzAccount
   # 执行Azure AD策略操作时用Graph登录
   Connect-MgGraph -Scopes "Policy.ReadWrite.ApplicationConfiguration","Application.ReadWrite.All"
   

4. 处理权限生效延迟
   管理员同意授予后，权限声明写入令牌会有1-5分钟的延迟，配置完成后不要立刻执行命令，等待后重试即可，如果依然报错可以重新登录PowerShell获取新的访问令牌。

避坑提示：不要混用AzureAD、Az.Resources、Microsoft.Graph三个模块的策略分配命令，不同模块调用的接口不同，权限要求也有差异，同一类操作固定用一个模块完成即可。

内容的提问来源于stack exchange，提问作者Daniel Vega Ruiz