服务主体创建另一个服务主体的最小权限

Question

我试图找到一些信息，服务主体需要哪些应用程序权限来创建另一个AAD应用程序/服务主体，但没有找到最小权限设置。

目前我为SP分配了一些目录角色，比如目录作家，这可能是多少？

有人知道SP需要创建另一个SP的应用程序权限吗？或者SP是否需要目录角色？

Answer 1

如果您的应用创建了应用程序，然后为他们创建了主体，则Azure AD Graph上的 Application.ReadWrite.OwnedBy 应用程序权限可以执行此操作。

但它不允许应用为其他应用程序创建服务主体。你注意到这需要相当大的应用程序权限。