Azure 服务主体创建另一个服务主体的最低权限

我试图找到服务主体创建另一个AAD应用程序/服务主体所需的应用程序权限的一些信息，但没有找到最低权限设置

目前，我为SP分配了一些目录角色，比如目录编写器，这可能太多了

---

有人知道SP创建另一个SP需要哪个应用程序权限吗？或者SP需要目录角色吗？

如果您的应用程序创建应用程序，然后为它们创建主体，那么Azure AD Graph上的应用程序.ReadWrite.OwnedBy应用程序权限可以做到这一点

但它不允许应用程序为其他应用程序创建服务主体。正如您所注意到的，这需要相当大的应用程序权限