Azure DevOps流水线创建AAD应用注册失败，求原因及解决方法

一、Azure PowerShell脚本任务的问题与修复 #

你遇到的AzureAD模块未找到和New-AzureADApplication不被识别，核心原因是Azure DevOps的托管代理默认没有预装AzureAD模块（它只自带了AzureRM/Az系列模块），而且AzureRM已经被官方弃用，推荐用更现代的Az模块来完成操作。

推荐修复方案（改用Az模块） #

直接使用Az模块里的New-AzADApplication cmdlet，无需额外安装模块，修改后的脚本如下：

# 加载Az资源模块（托管代理默认预装）
Import-Module Az.Resources

# 定义应用参数
$appURI = "https://knaabdapp123.azurewebsites.net"
$appHomePageUrl = "https://knaabdapp123.knandan.in"
$appReplyURLs = @($appURI, $appHomePageURL, "https://localhost:12345")

# 创建AAD应用注册
New-AzADApplication -DisplayName knaabdapp123 -IdentifierUris $appURI -Homepage $appHomePageUrl -ReplyUrls $appReplyURLs

如果你坚持使用AzureAD模块（不推荐） #

需要在脚本开头先安装模块，同时补充AzureAD的连接步骤：

# 检查并安装AzureAD模块
if (-not (Get-Module -ListAvailable -Name AzureAD)) {
    Install-Module -Name AzureAD -Force -AllowClobber -Scope CurrentUser
}
Import-Module AzureAD

# 用流水线的服务主体连接AzureAD（自动继承任务的上下文）
Connect-AzureAD -TenantId $env:AZURE_TENANT_ID -Credential (Get-AzContext).Account

# 后续注册脚本不变
$appURI = "https://knaabdapp123.azurewebsites.net"
$appHomePageUrl = "https://knaabdapp123.knandan.in"
$appReplyURLs = @($appURI, $appHomePageURL, "https://localhost:12345")
New-AzureADApplication -DisplayName knaabdapp123 -IdentifierUris $appURI -Homepage $appHomePageUrl -ReplyUrls $appReplyURLs

二、Azure CLI任务的问题与修复 #

Insufficient privileges错误非常明确：你流水线使用的服务主体没有在AAD中创建应用注册的权限。

修复步骤 #

1. 给服务主体分配AAD角色：

   • 登录Azure Portal，进入「Azure Active Directory」→「角色和管理员」
   • 搜索并选择「应用程序管理员」角色（或者更精细的Application.ReadWrite.All权限）
   • 添加你的Azure DevOps流水线使用的服务主体到这个角色中
   • 等待5-10分钟让权限生效

2. 本地验证权限（可选）：
   用该服务主体登录本地Azure CLI测试命令，确认权限配置正确：

   az login --service-principal -u <服务主体ID> -p <服务主体密码/证书> --tenant <租户ID>
   az ad app create --display-name TestApp --homepage "https://test.com" --reply-urls "https://localhost" --identifier-uris "https://testapp.azurewebsites.net"
   

   本地执行成功后，回到Azure DevOps流水线就能正常运行了。

内容的提问来源于stack exchange，提问作者Kamal Nandan