Блог

В настоящее время я пытаюсь прочитать идентификатор объекта группы Active Directory из действия GitHub, в котором я вошел в систему с помощью участника службы.

Участник службы является участником со следующими дополнительными разрешениями:

 "Microsoft.Authorization/roleAssignments/write",
"Microsoft.Authorization/roleAssignments/read"
 

при выполнении следующей команды с Azure CLI:

 az ad group show -g {NAME OF GROUP}
 

Я получаю следующий вывод:

 ValidationError: Insufficient privileges to complete the operation.
Error: Error: az cli script failed.
 

Я попытался предоставить разрешение участнику службы через Microsoft Graph API со следующими разрешениями:

 Directory.Read.All (Granted)
Group.Read.All (Granted)
 

Однако этого недостаточно для предоставления разрешений на чтение.

Два способа устранения проблемы (рекомендуется второй):

1. Эта команда по существу вызывает Azure AD Graph not Microsoft Graph , поэтому разрешение Microsoft Graph не вступит в силу, здесь вам нужно разрешение приложения (не делегированное разрешение) Directory.Read.All Azure AD Graph .

2. Другой способ — предоставить участнику службы роль администратора Azure AD, например Directory Readers , разрешение этой роли меньше, чем Directory.Read.All указано выше, а AAD Graph является поддерживаемым устаревшим API, поэтому рекомендуется второй способ. После предоставления роли подождите некоторое время, чтобы она вступила в силу, тогда она будет работать нормально.