运行Set-AzKeyVaultAccessPolicy的ADO服务主体所需Azure AD权限配置

核心报错触发原因 #

Set-AzKeyVaultAccessPolicy 命令在执行写入操作前，会强制触发Azure AD目录对象校验逻辑：

• 自动调用Graph接口拉取目标授权对象（本例中的用户分配托管标识对应的服务主体）的元数据
• 校验对象存在性、对象类型与入参匹配
• 本地使用个人交互账号可正常执行，本质是个人账号默认继承租户内置的目录读取权限；ADO管道使用的服务主体（应用注册）权限独立，不会自动继承目录读权限，因此触发报错。

注：所有资源同订阅、同租户的前提，仅保证Key Vault资源层面的权限校验通过，无法覆盖PowerShell命令内置的Graph调用权限要求。

服务主体必需的全部AAD权限 #

所有权限必须配置为应用程序权限（非委派权限），且完成租户管理员同意后生效：

• 针对旧版Azure AD Graph端点（适配绝大多数当前生产环境的Az.KeyVault版本）：
  • Application.Read.All：读取租户内所有服务主体对象信息，匹配用户托管标识对应的主体属性
  • Directory.Read.All：读取租户目录下所有对象的基础属性，完成对象存在性、类型的校验
• 若使用Az.KeyVault 4.9.0及以上版本，命令已切换为调用Microsoft Graph端点，需补充配置对应Microsoft Graph的应用程序权限：
  • Application.Read.All
  • Directory.Read.All

高频配置误区 #

• 仅为服务主体分配Key Vault层面的RBAC权限：Key Vault的资源权限仅控制实际的访问策略写入操作，无法覆盖命令前置的Graph调用逻辑
• 错配委派类型权限：无人值守的ADO管道运行时无用户交互上下文，委派权限完全不生效
• 仅配置Microsoft Graph权限未配置旧版Azure AD Graph权限：低版本Az.KeyVault仍调用旧版Graph端点，无法识别新版Graph的权限授权

关于-BypassObjectIdValidation的使用说明 #

该参数仅用于跳过前置的对象存在性校验，不影响实际访问策略的写入效果，但长期使用存在风险：

• 若输错目标对象ID，命令不会返回报错，会生成无效的访问策略项
• 后续排查访问策略匹配问题时，缺少前置校验的报错提示，排障成本较高

内容的提问来源于stack exchange，提问作者Stringfellow