使用AZ CLI创建Azure应用注册时出现问题

Question

我试图用更新的清单创建可访问Windows Azure AD的Azure AD应用。 我已经能够成功创建/配置新的应用程序注册，但是在尝试配置清单时遇到问题。

我尝试使用提供给我的MS（ https://docs.microsoft.com/zh-cn/cli/azure/ad/app?view=azure-cli-latest#az-ad-app-create ）的示例代码从现有的应用程序注册中更新的“ resourceAppId”，但是bash抛出错误

az ad app create --display-name myTest --homepage https://blah.test.com --reply-urls https://blah.test.com/.auth/login/add/callback --required-resource-accesses @manifest.json("manifest.json" contains the following content)

[{"resourceAppId": "00000002-0000-0000-c000-000000000000",
"resourceAccess": [
                    {
                     "id": "a42657d6-7f20-40e3-b6f0-cee03008a62a-test",
                     "type": "Scope"
                    }
                  ]
}]

复制示例代码并更新了一些参数后，我希望它会运行。 TIA有任何建议

这是我通过门户网站运行时收到的错误

Answer 1

因为您提供的有用信息太少，所以我不确定您遇到了什么错误。

我已经测试了您的脚本，但下面出现错误。

az ad app create --display-name 'myTest' --homepage 'https://blah.test.com --reply-urls https://blah.test.com/.auth/login/add/callback' --required-resource-accesses 'C:\Users\joyw\Desktop\manifest.json'
az : ERROR: '--identifier-uris' is required for creating an application
    At line:1 char:1
    + az ad app create --display-name 'myTest' --homepage 'https://blah.tes ...
    + ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
        + CategoryInfo          : NotSpecified: (ERROR: '--ident... an application:String) [], RemoteException
        + FullyQualifiedErrorId : NativeCommandError

如果您仍然遇到此错误，只需添加--identifier-uris 'https://mytestapp.websites.net'类的参数，完整的命令将类似于：

az ad app create --display-name 'myTest' --homepage 'https://blah.test.com' --reply-urls 'https://blah.test.com/.auth/login/add/callback' --identifier-uris 'https://mytestapp.websites.net' --required-resource-accesses 'C:\Users\joyw\Desktop\manifest.json'

然后它将正常工作。

---

据我了解，您可能会认为manifest.json的resourceAppId有问题。 如果未收到上述错误，则可以按照以下信息进行故障排除，并确保在manifest.json使用正确的属性。

我的manifest.json文件：

   [{
      "resourceAppId": "69ae001f-xxxxxxxx-375585ac983e",
      "resourceAccess": [
        {
          "id": "6833b2c6-9954-43e1-ac46-f54a26a3b693",
          "type": "Scope"
        },
        {
          "id": "1b4f816e-5eaf-48b9-8613-7923830595ad",
          "type": "Role"
        }
      ]
    }]

resourceAppId是服务主体的应用程序ID（即AD App的应用程序ID），因此您是正确的。

在resourceAccess ， type为Scope或Role 。 Scope代表委派权限 ， Role代表应用程序权限 。 对于“ 应用程序”权限 ，可以在正在使用的AD App清单的appRoles中找到它（对于我的示例是应用程序69ae001f-xxxxxxxx-375585ac983e ）。 对于Delegated权限 ，可以在清单中的oauth2Permissions中找到它。 然后获取相应位置的id 。

将其与我的示例AD App清单一起检查，注意id和对应关系，将很清楚。

appRoles：

"appRoles": [
    {
      "allowedMemberTypes": [
        "Application"
      ],
      "displayName": "SurveyCreator",
      "id": "1b4f816e-5eaf-48b9-8613-7923830595ad",
      "isEnabled": true,
      "description": "Creators can create Surveys",
      "value": "SurveyCreator"
    }
  ]

oauth2Permissions：

 "oauth2Permissions": [
    {
      "adminConsentDescription": "Allow the application to access joywebtest on behalf of the signed-in user.",
      "adminConsentDisplayName": "Access joywebtest",
      "id": "6833b2c6-9954-43e1-ac46-f54a26a3b693",
      "isEnabled": true,
      "type": "User",
      "userConsentDescription": "Allow the application to access joywebtest on your behalf.",
      "userConsentDisplayName": "Access joywebtest",
      "value": "user_impersonation"
    }
  ]

最后，我们可以检查刚刚在门户中创建的AD App。 它将具有我们设置的“ 必需”权限 。

有关更多详细信息，您还可以查看Azure Active Directory应用清单 。