跨资源组ARM模板中用户托管标识与存储账户角色分配失败排查

问题根源 #

你遇到的模板验证错误，本质是在嵌套部署模板中，尝试引用的被动存储账户虽然在该嵌套模板内创建，但角色分配资源的scope或目标资源引用未使用正确的资源ID格式，导致模板无法识别该资源。

解决方法 #

方案1：在主部署中添加跨资源组角色分配 #

通过嵌套部署的输出暴露被动存储账户ID，在主模板中完成跨资源组角色分配，更符合ARM模板的分层逻辑：

1. 修改嵌套模板，添加输出
   在嵌套模板的outputs节点中，输出被动存储账户的完整资源ID：

"outputs": {
  "passiveStorageResourceId": {
    "type": "string",
    "value": "[resourceId('Microsoft.Storage/storageAccounts', variables('passiveStorageName'))]"
  }
}

2. 主模板中新增角色分配资源
   引用嵌套部署的输出作为角色分配的作用域，同时指定主资源组中的托管标识：

{
  "type": "Microsoft.Authorization/roleAssignments",
  "apiVersion": "2022-04-01",
  "name": "[guid(variables('managedIdentityName'), variables('passiveStorageName'), 'StorageBlobDataContributor')]",
  "dependsOn": [
    "nestedDeploymentToRG2" // 依赖嵌套部署完成，确保存储账户已创建
  ],
  "properties": {
    "roleDefinitionId": "[subscriptionResourceId('Microsoft.Authorization/roleDefinitions', 'ba92f5b4-2d11-453d-a403-e96b0029c9fe')]", // 替换为实际需要的角色ID
    "principalId": "[reference(resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('managedIdentityName')), '2023-01-31').principalId]",
    "principalType": "ServicePrincipal",
    "scope": "[reference('nestedDeploymentToRG2').outputs.passiveStorageResourceId.value]"
  }
}

方案2：在嵌套部署中直接添加跨资源组角色分配 #

如果坚持在嵌套部署中完成角色分配，需要使用完整的跨资源组ID引用主资源组的托管标识：

{
  "type": "Microsoft.Authorization/roleAssignments",
  "apiVersion": "2022-04-01",
  "name": "[guid(resourceId(parameters('rg1Name'), 'Microsoft.ManagedIdentity/userAssignedIdentities', variables('managedIdentityName')), resourceId('Microsoft.Storage/storageAccounts', variables('passiveStorageName')), 'StorageBlobDataContributor')]",
  "dependsOn": [
    "[resourceId('Microsoft.Storage/storageAccounts', variables('passiveStorageName'))]"
  ],
  "properties": {
    "roleDefinitionId": "[subscriptionResourceId('Microsoft.Authorization/roleDefinitions', 'ba92f5b4-2d11-453d-a403-e96b0029c9fe')]",
    "principalId": "[reference(resourceId(parameters('rg1Name'), 'Microsoft.ManagedIdentity/userAssignedIdentities', variables('managedIdentityName')), '2023-01-31').principalId]",
    "principalType": "ServicePrincipal"
  }
}

注意事项 #

• 部署账户必须拥有两个资源组的对应权限：在Resource Group 1需具备读取用户托管标识的权限，在Resource Group 2需具备创建存储账户和角色分配的权限
• 角色ID可根据实际需求替换，可通过Azure门户或Azure CLI查询目标角色的定义ID
• 确保模板中的变量、参数名称与你的实际配置一致

内容的提问来源于stack exchange，提问作者Upgrade