Azure Pipeline使用MS Graph PowerShell SDK为托管标识授权报权限不足

核心报错原因 #

这个权限不足问题是从AAD模块迁移到Microsoft Graph PowerShell时的典型问题，核心原因有两个：

• 老的AzureAD模块调用的是AAD Graph端点（资源地址https://graph.windows.net），而Microsoft Graph PowerShell调用的是全新的Microsoft Graph端点（资源地址https://graph.microsoft.com），两个端点的权限体系完全独立，之前给服务主体配置的AAD Graph权限对Microsoft Graph不生效。
• 你虽然给Pipeline服务连接的服务主体配置了Application.ReadWrite.All等权限，但大概率是把权限配到了AAD Graph资源下，或者没有对Microsoft Graph下的权限执行租户级管理员同意，导致调用Microsoft Graph接口时返回的token里没有带有效权限声明。

修复步骤 #

1. 修正服务主体的API权限配置 #

• 找到Azure Pipeline服务连接对应的服务主体（可在服务连接配置页查看对应应用ID/对象ID），进入Azure AD中该应用注册的「API权限」管理页
• 删除所有配置在Azure Active Directory Graph下的无效权限，添加Microsoft Graph类别下的应用权限Application.ReadWrite.All
• 点击页面上的「授予对应租户管理员同意」按钮，完成权限的租户级授权，应用权限必须经过管理员同意才会生效。

2. 优化Pipeline中的PowerShell脚本 #

原脚本手动从AzureRM上下文提取token的方式容易出现token受众不匹配、版本不符的问题，建议改用官方认证方式连接Microsoft Graph，同时精简模块安装、增加异常判断，修正后代码如下：

# 仅安装所需的Applications模块，减少Pipeline执行耗时，避免全量模块的依赖问题
Install-Module Microsoft.Graph.Applications -Scope CurrentUser -Force -AllowClobber

# 获取当前Azure PowerShell任务的上下文信息
$azContext = Get-AzContext
$clientSecret = ConvertTo-SecureString $azContext.Account.Credential.Password -AsPlainText -Force
$clientSecretCredential = New-Object System.Management.Automation.PSCredential($azContext.Account.Id, $clientSecret)

# 使用服务主体凭证直接连接Microsoft Graph，无需手动拼接token
Connect-MgGraph -ClientSecretCredential $clientSecretCredential -TenantId $azContext.Tenant.Id -NoWelcome

# 查询目标托管标识对应的服务主体
$AppPrincipal = Get-MgServicePrincipal -Filter "Id eq '$AppPrincipalId'"
if (-not $AppPrincipal) {
    throw "未找到ID为$AppPrincipalId的托管标识服务主体"
}

# 查询Microsoft Graph资源对应的服务主体（固定AppId为00000003-0000-0000-c000-000000000000）
$GraphServicePrincipal = Get-MgServicePrincipal -Filter "appId eq '00000003-0000-0000-c000-000000000000'"
if (-not $GraphServicePrincipal) {
    throw "未找到Microsoft Graph资源服务主体"
}

# 提取待分配的Application.Read.All应用角色
$PermissionName = "Application.Read.All"
$AppRole = $GraphServicePrincipal.AppRoles | Where-Object {
    $_.Value -eq $PermissionName -and $_.AllowedMemberTypes -contains "Application"
}
if (-not $AppRole) {
    throw "未找到权限$PermissionName对应的应用角色定义"
}

# 先判断权限是否已存在，避免重复赋值报错
$existingAssign = Get-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $AppPrincipal.Id | Where-Object {
    $_.AppRoleId -eq $AppRole.Id -and $_.ResourceId -eq $GraphServicePrincipal.Id
}
if (-not $existingAssign) {
    $appRoleAssignment = @{
        "principalId" = $AppPrincipal.Id
        "resourceId"  = $GraphServicePrincipal.Id
        "appRoleId"   = $AppRole.Id
    }
    New-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $AppPrincipal.Id -BodyParameter $appRoleAssignment | Format-List
    Write-Host "已成功为托管标识分配$PermissionName权限"
} else {
    Write-Host "权限$PermissionName已存在，无需重复分配"
}

额外注意点 #

• 不要在Pipeline中安装全量Microsoft.Graph包，全量包包含数十个子模块，安装耗时长且容易出现版本冲突，按需安装对应场景的子模块即可，操作服务主体/应用注册只需要Microsoft.Graph.Applications模块。
• 权限配置完成后如果仍报错，可以先执行Disconnect-MgGraph断开现有连接，重新执行连接逻辑，避免旧token缓存导致权限不生效。

内容的提问来源于stack exchange，提问作者user527614