使用系统分配托管标识执行az vm extension set的服务主体所需权限

要成功运行az vm extension set命令启用代理（并指定以系统分配托管标识执行），服务主体需具备以下权限：

• 虚拟机操作权限：必须拥有目标虚拟机的Microsoft.Compute/virtualMachines/extensions/write权限——这个权限允许在VM上创建或更新扩展。你可以直接给服务主体分配**虚拟机参与者（Virtual Machine Contributor）**内置角色，该角色包含此必要权限；也可以创建自定义角色，仅包含该特定权限以遵循最小权限原则。

• 托管标识配置权限（按需）：如果代理扩展需要借助系统分配托管标识访问其他Azure资源（比如存储账户、密钥保管库），服务主体还得有：

  • 对VM的系统分配托管标识的Microsoft.ManagedIdentity/identities/assign/action权限，可通过分配**托管标识参与者（Managed Identity Contributor）**角色获取；
  • 对目标资源的Microsoft.Authorization/roleAssignments/write权限，用来给托管标识分配访问该资源的角色，可通过**用户访问管理员（User Access Administrator）**角色或自定义角色实现。

如果只是单纯安装扩展、不需要配置托管标识的跨资源访问权限，只满足第一类权限就能解决权限拒绝问题。

内容的提问来源于stack exchange，提问作者subbareddy