サービスプリンシパルが別のサービスプリンシパルを作成するための最小特権

Question

サービスプリンシパルが別のAADアプリケーション/サービスプリンシパルを作成するために必要な情報を見つけようとしましたが、最小限の特権セットアップが見つかりませんでした。

現在、私はSPにディレクトリ・ライターのようないくつかのディレクトリ役割を割り当てます。

誰でも知っているアプリケーションSPは別のSPを作成する必要がありますか？または、SPにディレクトリの役割が必要ですか？

Answer 1

アプリケーションがアプリケーションを作成し、それらのためのプリンシパルを作成した場合は、AzureのADグラフ上Application.ReadWrite.OwnedByアプリケーションの権限はそれを行うことができます。

それはアプリはいえ他のアプリケーションのためのサービスプリンシパルを作成することはできません。それはあなたが気付いたようにかなり大きなアプリのアクセス許可を必要とします。