使用AzureCLI@2删除角色分配时遇MissingSubscription错误求助

错误根源 #

你遇到的MissingSubscription错误，核心原因是**--ids参数传入的内容不符合要求**：az role assignment delete的--ids需要接收完整的角色分配资源ID，而不是单独的GUID字符串。

角色分配的完整ID格式为：

/subscriptions/{你的订阅ID}/providers/Microsoft.Authorization/roleAssignments/{GUID}

仅传入GUID时，Azure CLI无法识别该角色归属的订阅，因此抛出"缺少订阅"的错误。而你添加--scope参数被忽略，是因为使用--ids时，CLI会直接从ID中解析范围信息，手动指定的--scope会被覆盖。

修正方案 #

方案1：传入完整的角色分配资源ID #

将脚本中的GUID替换为完整资源ID，多个ID用空格分隔：

- task: AzureCLI@2
  inputs:
    azureSubscription: 'MYSUBSCRIPTION'
    scriptType: pscore
    scriptLocation: inlineScript
    inlineScript: |
      az role assignment delete --ids "/subscriptions/订阅ID1/providers/Microsoft.Authorization/roleAssignments/GUID1" "/subscriptions/订阅ID2/providers/Microsoft.Authorization/roleAssignments/GUID2"
  name: CleanupRoleAssignments

方案2：针对同订阅内的角色分配简化操作 #

如果所有待删除的角色分配都属于MYSUBSCRIPTION，可以先确保CLI上下文指向该订阅，再通过其他参数（如--assignee、--role）批量删除，无需传入完整ID：

- task: AzureCLI@2
  inputs:
    azureSubscription: 'MYSUBSCRIPTION'
    scriptType: pscore
    scriptLocation: inlineScript
    inlineScript: |
      # 确保上下文指向目标订阅
      az account set --subscription 'MYSUBSCRIPTION'
      # 示例：删除指定用户的所有角色分配
      az role assignment delete --assignee "user@example.com"
  name: CleanupRoleAssignments

额外注意事项 #

• 如果角色分配跨多个订阅，需要确保azureSubscription对应的服务主体拥有所有目标订阅的角色分配删除权限（如Owner或User Access Administrator）。
• 若需跨订阅操作，可在脚本中通过az account set --subscription {订阅ID}切换上下文，逐个处理不同订阅下的角色分配。

内容的提问来源于stack exchange，提问作者Jim Andrakakis