Issue with servicePrincipals and appRoleAssignedTo in some Entra Tenants
@eketo-msft ya está trabajando en esto.
Desde el 12/1/2026.
Evaluación
Este issue todavía no se ha evaluado.
Descripción
Bicep version
0.39.26
Resource and API version
Microsoft.Graph/applications@beta→ works in Entra tenant A & BMicrosoft.Graph/servicePrincipals@beta→ works in Entra tenant A fails in Entra tenant BMicrosoft.Graph/appRoleAssignedTo@beta→ works in Entra tenant A fails in Entra tenant B
Auth flow
Automated deployment
Bicep executed on Azure DevOps Agent using a service principal (workload identity federation)..
The same configured service principal (same permissions and roles) is used in both Entra tenants.
Deployment details
Insufficient privileges to complete the operation.
Graph client request id: cbf743cc-bffd-443c-a2dd-b1da094d75ac.
Graph request timestamp: 2025-12-30T14:06:55Z.
Describe the bug
Using the same Bicep template, same service principal, and same permissions:
- Deployment works in Tenant A
- Deployment fails in Tenant B
Failures occur only for:
Microsoft.Graph/servicePrincipalsMicrosoft.Graph/appRoleAssignedTo
The same operations executed via direct Microsoft Graph REST API
(using PowerShell / az rest) succeed.
Expected behavior:
ARM/Bicep Graph deployments should behave consistently across tenants and align with direct Microsoft Graph API behavior.
Actual behavior:
Tenant-dependent failures occur only when using the ARM-based Microsoft Graph provider.
To Reproduce
No idea.
Additional context
- Admin consent to SP used by Azure DevOps is granted in both Entra tenants
- Same permissions, roles, API version, and payload
- Same service principal identity
- Tenant settings reviewed and appear identical
- The issue occurs only when operations are executed via Azure Resource Manager
- Direct Microsoft Graph API calls do not exhibit this tenant-dependent behavior
This suggests additional tenant-level enforcement applied only to
ARM-mediated Microsoft Graph operations.
- Lenguaje dominante
- TypeScript
- Estrellas
- 81
- Forks
- 15
- Merge medio
- 2 d 14 h
- PR fusionados (30 d)
- 4
Preparar el entorno
- Sin Dockerfile ni archivo de Docker Compose
- Sin plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de microsoftgraph/msgraph-bicep-types
-
Docs: Add note about full-name + uniqueName requirement to applications/federatedIdentityCredentialsAbierto
Dificultad 1/5 Menos de una hora Aptitud para principiantes 35/100
-
bug
Dificultad 4/5 3-5 días Aptitud para principiantes 55/100
microsoftgraph/msgraph-bicep-types#311 · 3 comentarios ·
-
enhancement new type
Dificultad 5/5 Más de una semana Aptitud para principiantes 45/100
-
enhancement
Dificultad 4/5 3-5 días Aptitud para principiantes 35/100
microsoftgraph/msgraph-bicep-types#304 · 4 comentarios · 2 reacciones ·
-
enhancement new type
Dificultad 4/5 3-5 días Aptitud para principiantes 45/100
microsoftgraph/msgraph-bicep-types#296 · 2 reacciones ·
Todos los issues de microsoftgraph/msgraph-bicep-types
Issues similares
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 62/100
umami-software/umami#4637 ·
Los mantenedores suelen responder en 3 días
-
Hotkeys fire when pressed with the Ctrl key, so browser shortcuts also trigger player actionsPosiblemente ocupada @RaphaelFakhri la tomó hoy. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100
muxinc/media-chrome#1332 ·
Los mantenedores suelen responder en 5 días
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
polarsource/polar#15580 ·
Los mantenedores suelen responder en 1 día
-
accepted bug via-triage
Dificultad 2/5 1-3 horas Aptitud para principiantes 69/100
pingdotgg/t3code#20931 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
bug/1-unconfirmed kind/bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
Los mantenedores suelen responder en 1 día