Azure Marketplace SaaS Accelerator安装错误：Key Vault操作未授权

1. 在Azure Cloud Shell中正确获取登录用户的对象ID #

直接运行以下Azure CLI命令，输出结果即为当前登录用户的Object ID：

az ad signed-in-user show --query id -o tsv

若需验证，可补充运行az account show查看当前订阅关联的用户信息，确认对象ID匹配。

2. 确保用户拥有Key Vault设置机密的必要权限 #

根据Key Vault使用的权限模型，选择对应配置方式：

方式一：RBAC权限模型 #

给用户分配Key Vault Secrets Officer角色（该角色包含设置机密的核心权限），运行以下命令（替换占位符为实际资源信息）：

az role assignment create --assignee <你的用户对象ID> --role "Key Vault Secrets Officer" --scope /subscriptions/<订阅ID>/resourceGroups/<资源组名>/providers/Microsoft.KeyVault/vaults/<Key Vault名称>

方式二：传统访问策略模型 #

通过Azure门户操作：

• 定位到目标Key Vault，进入「访问策略」页面
• 点击「添加访问策略」，在「机密权限」列表中勾选「Set」
• 选择需要授权的用户，保存配置

3. 在部署脚本中直接处理RBAC问题 #

可以在Deploy.ps1中添加角色分配逻辑，建议放在Key Vault资源创建完成后执行。示例PowerShell代码如下：

# 获取当前登录用户的对象ID
$currentUserId = az ad signed-in-user show --query id -o tsv

# 替换为你的实际资源参数
$subscriptionId = "<你的订阅ID>"
$resourceGroupName = "<资源组名>"
$keyVaultName = "<Key Vault名称>"

# 分配Key Vault Secrets Officer角色
az role assignment create `
    --assignee $currentUserId `
    --role "Key Vault Secrets Officer" `
    --scope "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.KeyVault/vaults/$keyVaultName"

注意：执行该脚本的用户需具备Role Based Access Control Administrator或Owner权限，否则无法完成角色分配操作。

内容的提问来源于stack exchange，提问作者Robert Green MBA