使用Search-AzGraph查询Azure内置角色定义返回0条记录问题排查

问题分析 #

你遇到的核心问题是：Azure门户的Resource Graph Explorer能正常返回内置角色，但本地使用Search-AzGraph（或az graph query）执行带properties["type"] == "BuiltInRole"条件的查询时返回0条记录，移除该条件则正常返回。这大概率是因为依赖的模块版本过低，或者属性引用方式与旧版本模块不兼容导致的。

解决步骤 #

1. 确认并升级Az.ResourceGraph模块 #

Search-AzGraph属于Az.ResourceGraph模块，而非你当前安装的Az.ResourceGroup模块（Az.ResourceGroup v1.0.0与该查询无关）。旧版本的Az.ResourceGraph模块可能无法正确解析authorizationresources的properties字段结构。

执行以下命令升级到最新版本：

Update-Module -Name Az.ResourceGraph -Force

2. 修改查询的属性引用方式 #

部分旧版本模块对KQL的索引器语法（properties["type"]）支持不佳，改用点符号引用属性尝试：

Search-AzGraph -Query 'authorizationresources | where type == "microsoft.authorization/roledefinitions" | where properties.type == "BuiltInRole" | limit 5'

3. 明确指定租户查询范围 #

如果你的账号有多个订阅或租户上下文，可能需要明确指定租户ID确保查询覆盖整个租户范围（门户的Graph Explorer默认是租户级查询）：

Search-AzGraph -Query 'authorizationresources | where type == "microsoft.authorization/roledefinitions" | where properties.type == "BuiltInRole" | limit 5' -TenantId "你的租户ID"

内容的提问来源于stack exchange，提问作者David Gardiner