允许 Azure 注册的应用更新它自己的凭据

Question

我想运行以下命令

az login --service-principal -u 00000000-0000-0000-0000-000000000000 -p secret --tenant 00000000-0000-0000-0000-000000000000

az ad app credential reset --id 00000000-0000-0000-0000-000000000000 --cert "@./azureappcert.pem" --append

但是得到

权限不足，无法完成操作。

我读到 Application.ReadWrite.All 权限会让我这样做，但它会让我对所有已注册的应用程序这样做，但我不希望那样做。 这是为了脚本自动化目的，因为我有一个 Microsoft 帐户日志，所以我无法以我自己的身份使用 cli 登录。

我真的希望在测试脚本中找到一种方法来做到这一点。

Answer 1

我尝试在我的环境中重现相同的内容，以使用 CLI 登录 Azure Add with App。

我创建了 Azure AD 应用程序如下。

Azure 门户 > Azure Active Directory > 应用程序注册 > 新注册.

创建应用程序后，分配权限 Application.ReadWrite.OwnedBy 并授予它，这允许您的 service principal read 和 write 仅特定应用程序的元数据和属性。

打开您的应用程序 > API 权限 > 添加权限 > 选择 Microsoft Graph > 应用程序权限

一旦添加权限，在subscription 级别将角色分配给服务原则。

az login --service-principal -u "0c8b9fed-ab2f-xxxx-xxxxx-faf7798b38cb" -p "GwT8Q~KXhxxxxxxxxTmJQW5JsnqLdmk" --tenant "e6dxxxx-e46c-xxxx-xxx-8bxxxxxx5f73"

az ad app credential reset --id "0c8b9fed-ab2f-xxxx-xxxxx-faf7798b38cb" --cert "@./azureappcert.pem" --append

成功登录

如果尝试使用不同的应用程序，我会遇到以下错误。