创建Azure KeyVault Secrets遇RBAC权限禁止错误求助

创建Azure Key Vault Secrets时收到以下错误提示：

"该操作不被RBAC允许。如果最近修改了角色分配，请等待几分钟让角色分配生效。"

错误详细信息 #

• 错误代码：Forbidden
• 错误消息：该操作不被RBAC允许。如果最近修改了角色分配，请等待几分钟让角色分配生效。
• 原始错误详情：
  调用者无权对资源执行操作。如果最近修改了角色分配、拒绝分配或角色定义，请等待传播时间。
  调用者：appid=3686488a-04fc-4d8a-b967-61f98ec41efe;oid=7e6b2746-4bcf-4d8b-8f3b-18504448c88c;iss=https://sts.windows.net/628ab173-d677-4cae-af42-d41ef78a1b1c/
  操作：Microsoft.KeyVault/vaults/secrets/setSecret/action
  资源：/subscriptions/7bbbb89c-3273-4ad3-b278-2e7cbf1f410b/resourcegroups/changenotificationtest/providers/microsoft.keyvault/vaults/gr-notification-keyvault/secrets/keyvault-secret
  分配：(未找到)
  DenyAssignmentId: null
  决策原因: null
  密钥保管库: Gr-Notification-keyVault;location=centralindia

解决方法 #

• 检查角色分配：确认调用者（对应appid/oid的服务主体或用户）在目标Key Vault、所属资源组或订阅层级，被分配了包含Microsoft.KeyVault/vaults/secrets/setSecret/action权限的角色，例如Key Vault Secrets Officer、Key Vault Contributor，或包含该权限的自定义角色。
• 等待权限传播：若刚完成角色分配，Azure RBAC权限通常需要5-15分钟完成全局传播，等待后重试操作。
• 验证权限范围：确保角色分配的范围覆盖目标Key Vault资源，避免仅在父级资源组/订阅分配但Key Vault存在资源锁等限制的情况。
• 排查拒绝分配：尽管错误中DenyAssignmentId为null，仍需在Azure门户的Key Vault「访问控制(IAM)」页面确认是否存在针对该调用者或操作的拒绝分配规则。

内容的提问来源于stack exchange，提问作者Somit Mitra