了解Azure服务主体

Question

我想创建一个服务原则，允许在我的订阅下部署到我的一个或多个资源。

• 我有一个MSDN订阅，允许我每月在Azure上花费40英镑。
• Azure Active Directory由我公司维护。
• 我被设为普通用户
• 我已经通过门户网站创建了一个带密钥的服务原则。
• 当我尝试通过Octopus Deploy的SP连接时，我收到以下消息：

  

无法验证Azure帐户：具有对象ID的客户端“xxxx”   'xxxx'无权执行操作   '范围内的Microsoft.Resources / subscriptions / resourcegroups / read'   '/订阅/ XXXX'。

正如我现在所理解的那样，SP处于租户级别。那么这是否意味着我可能没有任何权限来创建具有适当访问权限的SP以执行我需要的操作，并且我将需要管理员来执行此操作？

我很难理解这种身份验证方法tbh。因此，非常感谢任何有助于澄清这一切如何融合在一起的信息。

e.g。

• 我可以将SP限制为仅限MSDN订阅吗？
• 我甚至可以将其限制为资源组/资源吗？
• ...

Answer 1

在权限方面，服务主体与普通用户不同。您的服务主体无法访问该特定订阅。您需要将这些权限授予服务主体。您可以使用portal \ powershell \ cli \ SDK来执行此操作。 Sample link