通过CI/CD部署代码到Azure Functions时遇授权问题

错误信息 #

Code: Authorization
Message: 客户端'client ID of service principal'（对象ID为'object id'）无权在范围/subscriptions/'subscription ID'/resourceGroups/'resourcegroupname'/Microsoft.web/sites/'functionappname'/functions/'nameoffunction'上执行操作'Microsoft.web/sites/functions/read'，或范围无效。如果最近已授予权限，请刷新凭据。

排查方向 #

• 验证自定义IAM角色的权限配置
  虽然配置了Microsoft.web/*这类通配符权限，但需确认自定义角色的Actions字段是否明确包含Microsoft.Web/sites/functions/read。有时候通配符可能因角色定义的层级逻辑未完全覆盖，或者存在拒绝（Deny）策略冲突，导致权限不生效。同时确认角色分配的范围确实是目标资源组，未被限制到更小的资源层级。
• 刷新服务主体凭据
  按照错误提示，若最近刚完成权限授予，需在GitLab CI/CD的变量中更新服务主体的客户端密钥，确保凭据未过期、配置正确。
• 检查专用终结点的网络连通性
  由于使用了专用终结点，需确认GitLab Runner所在网络能正常访问Azure资源管理器（ARM）服务。若Runner处于私有网络，需配置ARM的私有链接，否则服务主体的权限校验请求可能因网络不通被拦截，表现为权限错误。
• 无需额外API权限
  这类部署操作属于Azure资源管理的IAM权限范畴，不需要在Azure AD中授予Graph API或其他类型的API权限，只需确保IAM角色配置正确即可。

内容的提问来源于stack exchange，提问作者Mohamed Arif