management - Varios Azure AD. New-MsolServicePrincipal: acceso denegado

portal azure web

Question

Deseo configurar mi Azure Active Directory como proveedor de identidad para SharePoint 2013 Foundation. Activé la versión de prueba de Azure desde una cuenta que es parte de otra infraestructura (la infraestructura de mi empresa). Entonces, ¿qué tengo ahora?

• Azure VM con SharePoint 2013 Foundation instalado. Creado por mí para fines de prueba
• Azure Active Directory que forma parte de la infraestructura de mi empresa. No tengo ningún permiso ni siquiera para verlo. Pero lo veo ya que mi empresa lo usa
• Azure Active Directory conmigo como administrador global (my-ad-name). Creado por mí para fines de prueba
• Servicios de control de acceso. Creado por mí para fines de prueba

Así que, siguiendo el artículo Uso de la autenticación de Microsoft Azure Active Directory para SharePoint 2013, recibo un error

PS C:/Users/tu1> New-MsolServicePrincipal -ServicePrincipalNames @("https://my-ad-name.accesscontrol.windo
ws.net/") -DisplayName "Test ACS Namespace" -Addresses $replyUrl
The following symmetric key was created as one was not supplied m2XQJAeUKEQztjn/sEDJwy8TbG8jPxpw6cemkm8Fnkw=
New-MsolServicePrincipal : Access Denied. You do not have permissions to call this cmdlet.
At line:1 char:1
+ New-MsolServicePrincipal -ServicePrincipalNames @("https://my-ad-name.accesscon ...
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
+ CategoryInfo : OperationStopped: (:) [New-MsolServicePrincipal], MicrosoftOnlineException
+ FullyQualifiedErrorId : Microsoft.Online.Administration.Automation.AccessDeniedException,Microsoft.Online.Admini
stration.Automation.NewServicePrincipal

¿Puede ser por Azure AD que no tengo derechos? ¿Hay formas de conectar el servicio de control de acceso solo con el AD que necesito?

Answer 1

Cuando se conecta a Azure AD PowerShell utilizando Connect-MsolService , el nombre de usuario que utiliza para Connect-MsolService sesión definirá en qué directorio está trabajando. No se pueden usar usuarios externos (usuarios originarios de un directorio presente en un segundo directorio).

Digamos, por ejemplo, que tiene el usuario [email protected] , en un directorio que identificaremos por el nombre de dominio verificado contoso.com . Si [email protected] utiliza el Portal de Azure para crear un nuevo directorio (identificado aquí por su nombre de dominio inicial fabrikam.onmicrosoft.com ), el primer usuario (y administrador) será un usuario externo [email protected] .

Para conectarse a Azure AD PowerShell en el contexto de fabrikam.onmicrosoft.com , es necesario crear un nuevo usuario "nativo" en ese directorio. Por ejemplo, si [email protected] se crea como administrador en fabrikam.onmicrosoft.com , esa nueva cuenta de usuario podrá iniciar sesión en Azure AD PowerShell y crear un nuevo servicio principal.

Nota: siempre puede confirmar en qué directorio está trabajando utilizando Get-MsolCompanyInformation .