如何通过Azure REST API成功查询租户级当前服务运行状况事件？

问题分析 #

你遇到的错误核心原因是：根管理组的Reader权限不会自动覆盖租户级的Microsoft.ResourceHealth/events/read操作。租户级资源健康事件对应的作用域是/providers/Microsoft.ResourceHealth，而根管理组的作用域/下的Reader角色，并不包含对该特定资源提供商的读取权限。

解决步骤 #

1. 为服务主体分配租户级特定权限 #

需要在**/providers/Microsoft.ResourceHealth作用域**上，给服务主体分配包含Microsoft.ResourceHealth/events/read操作的角色，推荐两种方式：

• 自定义角色：创建仅包含Microsoft.ResourceHealth/events/read权限的自定义角色，再将其分配到该作用域
• 内置角色：若业务允许，直接分配Resource Health Data Reader内置角色（该角色原生包含资源健康事件的读取权限），作用域同样设为/providers/Microsoft.ResourceHealth

2. 等待权限生效并刷新令牌 #

角色分配完成后，等待5-10分钟让权限同步（避免缓存延迟），然后重新获取服务主体的访问令牌（刷新凭据），再执行租户级查询请求。

3. 修正令牌请求的作用域 #

确保请求令牌时的作用域为https://management.azure.com/.default（末尾的.default是服务主体获取应用权限的标准格式，之前的https://management.azure.com/虽能获取令牌，但可能缺少租户级操作的权限声明）

验证命令示例（Azure CLI） #

如果用Azure CLI分配角色，可执行以下命令（替换占位符为实际值）：

az role assignment create --assignee <服务主体对象ID> --role <角色名称/ID> --scope "/providers/Microsoft.ResourceHealth"

内容的提问来源于stack exchange，提问作者qvt