Azure AD - 以编程方式创建新的服务主体

Question

我正在编写 python 脚本来供应和配置 Azure 服务。我想提供一个新的服务主体作为我的脚本的一部分，但有权限问题。如果我在我的终端中运行这个命令（在 azure login 之后），它将创建服务主体：

az ad sp create-for-rbac --name Testapp

我想实现相同的目标，但是在我的 python 脚本中，我使用现有的服务主体进行资源配置。我正在拨打的电话如下：

call("az login --service-principal -u '%s' -p '%s' --tenant '%s'" % (args.client_id, args.client_sec, args.tenant_id), shell=True)
call("az ad sp create-for-rbac --name TestServicePrincipal", shell=True)

参数是现有服务主体的凭据。正如您在此处看到的那样，此服务主体已经是该订阅的 OWNER：

当运行使用我的 python 脚本时，我确实可以正常登录（也可以使用这些凭据我可以通过脚本提供一堆其他资源），但是当创建 SP 帐户，您可以在此处看到：

synergies git:(master) ✗ python test.py -c 'testcustomer' -l 'eastus' -sid '1234' -cs '1234' -cid '1234' -tid '1234'
[
  {
    "cloudName": "AzureCloud",
    "id": "1234",
    "isDefault": true,
    "name": "Free Trial",
    "state": "Enabled",
    "tenantId": "1234",
    "user": {
      "name": "1234",
      "type": "servicePrincipal"
    }
  }
]
Changing "TestServicePrincipal" to a valid URI of "http://TestServicePrincipal", which is the required format used for service principal names
Insufficient privileges to complete the operation.

任何建议将不胜感激！

Answer 1

我已经解决了。您需要为您的 sp 分配 Global administrator 角色。 注意：这将需要几分钟才能生效。

Azure AD - 以编程方式创建新的服务主体

Azure AD - create a new Service Principal programmatically

azure

azure-active-directory

service-principal