AzureCLI@2任务中PowerShell变量赋值异常及权限问题求助

1. ERROR: Insufficient privileges to complete the operation. #

流水线使用的服务主体仅被授予资源组Owner权限，该权限仅覆盖订阅/资源组层级的资源操作，但az ad sp list --all命令需要Azure AD租户层级的读取权限（因为要查询租户内所有服务主体/托管标识）。资源组Owner权限无法访问租户级别的AD对象，导致命令执行失败。

2. ERROR: argument --assignee-object-id: expected one argument #

由于az ad sp list因权限不足未返回任何结果，导致$assigneeId变量为空，后续执行az role assignment create时，--assignee-object-id参数没有有效值，触发该错误。

步骤1：为流水线服务主体添加租户级AD读取权限 #

1. 登录Azure门户，进入Azure Active Directory → 应用注册，找到流水线使用的应用注册（对应azureSubscription参数的服务连接）。
2. 切换到API权限标签页，点击添加权限 → 选择Microsoft Graph → 应用权限。
3. 搜索并勾选Directory.Read.All权限，点击添加权限。
4. 点击授予管理员同意（需要Azure AD全局管理员权限），完成权限配置。

步骤2：优化脚本增加空值校验 #

修改内联脚本，增加对$assigneeId的空值检查，避免无效命令执行：

task: AzureCLI@2
  displayName: 'Assign role "Storage Blob Data Contributor" to the task-poll-queued-compliance-jobs1-<env> logic app'
  inputs:
    azureSubscription: ${{ parameters.connectionName }}
    scriptLocation: 'inlineScript'
    scriptType: 'pscore'
    inlineScript: |
      $assigneeId = (az ad sp list --all --filter "servicePrincipalType eq 'ManagedIdentity' and displayName eq '<logic app name>'" | ConvertFrom-Json | Select-Object -ExpandProperty id -ErrorAction SilentlyContinue)
      if (-not $assigneeId) {
          Write-Error "Failed to get Managed Identity ID for logic app '<logic app name>'"
          exit 1
      }
      az role assignment create --role "Storage Blob Data Contributor" --assignee-object-id $assigneeId --scope "/subscriptions/<subscriptionId>/resourceGroups/<resource group>/providers/Microsoft.Storage/storageAccounts/<storageaccount>"

步骤3：验证托管标识名称匹配 #

确保脚本中<logic app name>与逻辑应用托管标识的显示名称完全一致（区分大小写），避免过滤条件不匹配导致查询无结果。

内容的提问来源于stack exchange，提问作者Dean