具有所有者访问订阅权限的服务主体可以访问活动目录吗

Question

我有一个具有所有者访问权限的Azure服务主体，该主体能够在资源或资源组级别添加贡献者。 但是，当我使用相同的服务主体访问Azure AD时，它将失败并引发403禁止错误。 拥有所有者访问订阅的服务主体是否可能无法访问同一订阅中的Azure广告？

Answer 1

订阅位于天蓝色广告租户下，所有者角色是RBAC角色，该角色管理订阅中的资源，而不是天蓝色广告租户。

有关角色的更多详细信息，请参阅Classic subscription administrator roles, Azure RBAC roles, and Azure AD administrator roles。

如果您想更正错误以在租户中将Microsoft图形调用到list users / get a user，请在Prottal的App registrations中导航至AD App-> {{ 1}}-> API permissions->选择Add a permission-> Microsoft Graph-> Application permissions->单击User.Read.All->单击Add permissions，然后它会起作用。