咨询：服务主体为其他应用创建新密钥的最小权限要求

针对你在Azure DevOps（原VSTS）中通过ARM模板部署Azure PaaS服务，想要动态生成ACS应用密钥来替代手动方式、解决密钥过期和管理问题的场景，下面是服务主体所需的最小权限配置方案：

核心最小权限：应用注册级别的「Key Credential Operator」角色 #

要让你的服务主体能够为ACS对应的目标应用注册（就是你配置ACS时用的那个应用ID对应的Azure AD应用）创建新密钥，最安全的最小权限是给服务主体分配该应用注册的「Key Credential Operator」内置角色。这个角色的权限非常精准——只允许对目标应用的密钥凭证做创建、删除、查看这类管理操作，不会给多余的权限，完全匹配你动态生成密钥和基础密钥管理的需求，符合权限最小化的安全原则。

如何分配这个角色 #

用Azure门户操作的步骤 #

• 打开Azure AD的「应用注册」页面，找到ACS使用的那个目标应用。
• 进入应用的「访问控制(IAM)」选项卡。
• 点击「添加角色分配」，在角色列表里找到并选中「Key Credential Operator」。
• 在「成员」部分选择你的服务主体，确认后完成分配。

用Azure CLI快速操作 #

执行下面的命令，记得把占位符替换成实际的对象ID：

az ad app role assignment create \
  --assignee <你的服务主体对象ID> \
  --resource <目标应用注册的对象ID> \
  --role "Key Credential Operator"

额外提醒 #

• 如果你需要服务主体管理多个应用注册的密钥，可以考虑用「Application Administrator」角色，但这个角色权限很宽，能管理所有应用注册，除非有明确的批量管理需求，否则不推荐——毕竟最小权限才是最安全的。
• 别忘了这个权限是专门针对密钥管理的，你的服务主体还得有部署Azure PaaS资源的常规权限（比如资源组的「Contributor」角色）才能完成整个ARM模板部署流程。

这样配置后，你就能在Azure DevOps的部署流程里动态生成ACS的应用密钥，不用再手动维护，也能更好地应对密钥过期和应用变更的情况。

内容的提问来源于stack exchange，提问作者jfa8998172