Azure AD多租户下AKS CLI权限错误问题咨询

嘿，这个场景我在日常支持里碰到好多次了，咱们先把问题捋清楚，再一步步解决：

你的核心情况是：订阅baz的账户管理员归属在foo租户，虽然在bar租户的门户里能看到这个订阅，但bar租户下的用户并没有足够的目录级权限去操作它——毕竟订阅的身份根还是在foo那边，bar这边只是“可见”但没拿到实际操作授权。

解决方案分三种，按需选择： #

• 切换到foo租户操作（最直接）
  既然订阅的所有者和账户管理员都在foo，那最简单的方式就是把操作上下文切回foo租户。在Shell里可以这么做：

  # 先登录到foo租户
  az login --tenant foo.onmicrosoft.com
  # 切换到baz订阅
  az account set --subscription baz
  

  这样你的身份就处于foo租户的权限范围内，执行后续命令就不会再碰到目录权限错误了。

• 在foo租户给bar用户授权（保留双租户可见性）
  如果必须在bar租户下操作baz订阅，需要在foo租户里给bar的用户分配订阅级角色，同时把这个用户加为foo的来宾：

  1. 登录foo租户的Azure门户，找到订阅baz
  2. 进入「访问控制(IAM)」→「添加角色分配」，选你需要的角色（比如参与者或所有者）
  3. 选择用户时，切换到「目录 + 来宾用户」，搜索bar租户的用户邮箱并添加
  4. 完成授权后，回到bar租户的Shell，重新登录或者执行az account refresh刷新权限，再跑命令就正常了。

• 转移订阅到bar租户（长期归属切换）
  如果想彻底把baz订阅划归bar租户管理，可以转移目录归属，但这个操作必须由foo租户的账户管理员来执行：

  1. 登录foo租户的Azure门户，进入baz订阅的「概述」页面
  2. 点击「更改目录」，选择bar租户，确认操作
  3. 转移完成后，bar租户就完全拥有这个订阅的管理权限，后续操作再也不会有跨目录权限问题了。

错误原因补充 #

你碰到的directory permission is needed for the current user...错误，本质是当前bar租户的用户，没有被授权访问baz订阅所属的foo租户目录资源——即使能看到订阅，涉及到目录级的操作（比如修改订阅关联的AD设置、访问租户内的身份资源）都会被拦截。

内容的提问来源于stack exchange，提问作者rfum