服务主体创建另一个服务主体的最低权限

Question

我试图找到一些信息，服务主体创建另一个 AAD 应用程序/服务主体需要哪些应用程序权限，但没有找到最小权限设置。

目前，我为 SP 分配了一些目录角色，例如 Directory Writers，这可能太多了？

有人知道SP 创建另一个 SP 需要哪个应用程序权限吗？还是 SP 需要目录角色？

Answer 1

如果您的应用程序创建的应用程序，然后创建校长他们，那么Application.ReadWrite.OwnedBy对Azure的AD图形应用程序的权限可以做到这一点。

但是，它不允许应用程序为其他应用程序创建服务主体。正如您所注意到的，这需要相当大的应用程序权限。