几个Azure AD.New-MsolServicePrincipal:访问被拒绝

我想将Azure Active Directory设置为SharePoint 2013 Foundation的身份提供程序.我从作为另一个基础架构(我公司的基础架构)一部分的帐户激活了Azure试用版.那么我现在拥有的:

安装了SharePoint 2013 Foundation的Azure VM.由我创建用于测试目的

Azure Active Directory是我公司基础架构的一部分.我甚至没有任何权限来查看它.但是自从我的公司使用它以来我就看到了它

Azure Active Directory,将我作为全局管理员(我的广告名称).由我创建用于测试目的

访问控制服务.由我创建用于测试目的

因此,在使用Microsoft Azure Active Directory进行SharePoint 2013身份验证的文章后,我收到错误消息

PS C:\Users\tu1> New-MsolServicePrincipal -ServicePrincipalNames @("https://my-ad-name.accesscontrol.windo
ws.net/") -DisplayName "Test ACS Namespace" -Addresses $replyUrl
The following symmetric key was created as one was not supplied m2XQJAeUKEQztjn/sEDJwy8TbG8jPxpw6cemkm8Fnkw=
New-MsolServicePrincipal : Access Denied. You do not have permissions to call this cmdlet.
At line:1 char:1
+ New-MsolServicePrincipal -ServicePrincipalNames @("https://my-ad-name.accesscon ...
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : OperationStopped: (:) [New-MsolServicePrincipal], MicrosoftOnlineException
    + FullyQualifiedErrorId : Microsoft.Online.Administration.Automation.AccessDeniedException,Microsoft.Online.Admini
   stration.Automation.NewServicePrincipal

可能是因为我没有权利的Azure AD？有没有办法只将Access Control Service连接到我需要的AD？

使用时连接到Azure AD PowerShell时Connect-MsolService,用于登录的用户名将定义您正在使用的目录.无法使用外部用户(最初来自第二个目录中的一个目录的用户).

比如说,您有一个用户bob@contoso.com,在我们将通过验证域名识别的目录中contoso.com.如果bob@contoso.com使用Azure门户创建新目录(此处通过其初始域名标识fabrikam.onmicrosoft.com),则第一个用户(和管理员)将是外部用户 bob@contoso.com.

为了连接到Azure的AD的PowerShell的背景下fabrikam.onmicrosoft.com,一个新的 "原生"用户需要在该目录中创建.因此,例如,如果admin@fabrikam.onmicrosoft.com创建为管理员fabrikam.onmicrosoft.com,则该新用户帐户将能够登录Azure AD PowerShell并创建新的服务主体.

注意:您始终可以使用确认您正在使用的目录Get-MsolCompanyInformation.