自动化创建管理组和订阅。使用服务主体时出错

Question

有人可以为我指出正确的方向，以便我们如何在Azure中自动创建管理组和订阅吗？我使用Service Principal进行身份验证，但它似乎在订阅范围内，并且出现错误

{
    "error": {
        "code": "AuthorizationFailed",
        "message": "The client '4f44082c-3317-42de-be67-bd0db31f9821' with object id '4f44082c-3317-42de-be67-bd0db31f9821' does not have authorization to perform action 'Microsoft.Management/managementGroups/read' over scope '/providers/Microsoft.Management'."
    }
}

因此，当我阅读MS文档时，似乎有Azure Cli模块和REST API可以创建管理组和订阅。例如：https://docs.microsoft.com/en-us/rest/api/resources/managementgroups/createorupdate

对于REST API，当我从上面的链接执行“ Try It”时，我会手动进行身份验证以进行Azure验证，

有些事情，如果我运行Azure Cli列出或创建管理组，它似乎可以工作，但是，我必须手动使用“ az登录”。

现在，我们正在尝试做的是使用“服务主体”进行身份验证的自动精简程序。但是，服务主体似乎在订阅范围内？？？那是正确的方法吗？

Thx