了解Azure服务主体

Question

我想创建一个服务主体，以允许在我的订阅下部署到我的一个或多个资源。

• 我有一个MSDN订阅，允许我每月在Azure上支付40英镑。
• Azure Active Directory由我的公司维护。
• 我被设置为普通用户
• 我已经通过门户网站创建了一个带密钥的服务主体。
• 当我尝试通过Octopus Deploy的SP连接时，我收到以下消息：

无法验证Azure帐户：对象ID为“xxxx”的客户端“xxxx”无权执行“范围'/ subscriptions / xxxx'上的Microsoft.Resources / subscriptions / resourcegroups / read'操作。

正如我现在所理解的那样，SP处于租户级别。那么这是否意味着我可能没有任何权限来创建具有适当访问权限的SP以执行我需要的操作，并且我必须让管理员执行此操作？

我很难理解这种认证方法tbh。因此，非常感谢任何有助于澄清这一切如何融合在一起的信息。

EG

• 我可以将SP限制为仅限MSDN订阅吗？
• 我甚至可以将其限制为资源组/资源吗？
• ...

Answer 1

在权限方面，服务主体与普通用户不同。您的服务主体无法访问该特定订阅。您需要将这些权限授予服务主体。您可以使用portal \ powershell \ cli \ SDK来执行此操作。 Sample link。