调用Set-AzureADApplication更新AD应用时权限不足，需何种权限？

嘿，我碰到过好几个类似的问题，这个权限不足的报错其实很好解决——核心就是你的脚本执行账号没有拿到修改Azure AD应用注册的权限。下面给你拆解清楚需要的权限和配置步骤：

核心所需权限选项 #

你有几个权限配置方向可选，根据你的权限管控需求来选：

1. 全局管理员类角色（适合批量管理多个应用） #

如果需要管理租户内所有的应用注册，给执行脚本的账号分配以下角色之一即可：

• 应用程序管理员（Application Administrator）：完全管理所有应用注册，包括修改回复URL、权限配置等操作，是最常用的角色。
• 云应用程序管理员（Cloud Application Administrator）：权限范围仅限云原生的AD应用，如果你只管理这类应用，这个角色足够且权限更收敛。

2. 单个应用的所有者权限（适合精细化管控） #

如果不想给全局管理员权限，只需要让账号能修改特定的目标应用，那把执行脚本的账号设置为该应用的所有者就行。所有者拥有对对应应用的完全管理权限，包括修改回复URL这类属性。

具体配置步骤 #

分配管理员角色（Azure门户操作） #

1. 登录Azure门户，进入Azure Active Directory > 角色和管理员。
2. 在搜索框输入你要分配的角色（比如「应用程序管理员」），点击进入角色详情页。
3. 点击添加分配，在弹出的窗口里选择执行脚本的账号，确认后完成分配。

注意：角色分配通常需要1-5分钟生效，别着急立刻重试脚本。

设置应用所有者（Azure门户操作） #

1. 进入Azure Active Directory > 应用注册，找到你要修改的目标应用。
2. 在应用左侧菜单里找到所有者选项，点击进入。
3. 点击添加所有者，选择你的脚本执行账号，保存即可。

额外注意事项 #

• PowerShell会话验证：如果你之前用其他账号登录过AzureAD模块，记得先运行Disconnect-AzureAD退出旧会话，再用拥有权限的账号重新运行Connect-AzureAD登录。
• 服务主体执行脚本的情况：如果是用服务主体而非用户账号跑脚本，需要给服务主体分配上述角色，或者设置为目标应用的所有者，登录时要用服务主体的凭据（比如Connect-AzureAD -TenantId <租户ID> -ApplicationId <应用ID> -CertificateThumbprint <证书指纹>）。
• 条件访问限制：如果你的租户开启了条件访问策略，确保执行脚本的账号能通过验证（比如MFA），否则可能即使权限够也会报错。

验证权限是否生效 #

你可以先运行一个简单的测试命令确认权限：

Get-AzureADApplication -ObjectId <你的目标应用ObjectID>

如果能正常返回应用的详细信息，再重新运行你的修改回复URL脚本，应该就能成功执行Set-AzureADApplication了。

内容的提问来源于stack exchange，提问作者Albert