Автоматизировать создание групп управления и подписки. Ошибка при использовании принципала обслуживания

Question

Может ли кто-нибудь указать мне правильное направление, как мы можем автоматизировать создание групп управления и подписки в Azure?Я использую Service Principal для аутентификации, но, похоже, это происходит в рамках подписки, и я получаю сообщение об ошибке

{
    "error": {
        "code": "AuthorizationFailed",
        "message": "The client '4f44082c-3317-42de-be67-bd0db31f9821' with object id '4f44082c-3317-42de-be67-bd0db31f9821' does not have authorization to perform action 'Microsoft.Management/managementGroups/read' over scope '/providers/Microsoft.Management'."
    }
}

Поэтому, когда я читаю документацию MS, кажется, что есть модуль Azure Cli и REST API для создания групп управления.и подписка.Например: https://docs.microsoft.com/en-us/rest/api/resources/managementgroups/createorupdate

Для API REST, когда я выполняю «Try It» по ссылке выше, я аутентифицируюсь вручную на Azure, это работает.

То же самое, если я запускаю Azure Cliдля составления списка или создания групп управления, похоже, это работает, однако мне нужно вручную ввести «az login».

Теперь мы пытаемся сделать все, что мы используем, как автоматизацию ».«Принципал обслуживания» для аутентификации.Тем не менее, Сервисный Принцип, кажется, находится на подписке ???Это правильный подход?

Thx