无法在Azure部署Serverless应用：权限授权错误求助

我完成了Azure上Serverless应用的配置，执行sls deploy时遇到权限错误：

Error: The client 'aa875774-ab8a-41e7-a567-0a4f0bc7cedc' with object id 'aa875774-ab8a-41e7-a567-0a4f0bc7cedc' does not have authorization to perform action 'Microsoft.Resources/subscriptions/resourcegroups/write' over scope '/subscriptions/SUBID/resourcegroups/sls-weur-dev-zucora-apps-rg' or the scope is invalid. If access was recently granted, please refresh your credentials.
    at new RestError (/Users/raman/Documents/project/node_modules/@azure/ms-rest-js/dist/msRest.node.js:1403:28)
    at /Users/raman/Documents/project/node_modules/@azure/ms-rest-js/dist/msRest.node.js:2592:37
    at process.processTicksAndRejections (node:internal/process/task_queues:95:5)

当前使用的是拥有Owner和Contributor角色的管理员账号，尝试添加权限、创建新账号重复步骤后，错误依旧。找不到添加RBAC权限的入口，本次仅部署函数。

附订阅IAM访问控制截图：

附serverless.yml截图：

1. 刷新本地Azure凭据 #

权限授予后可能存在缓存延迟，执行以下命令强制刷新：

az logout
az login

若使用Serverless Azure插件，同步重新配置凭据：

sls azure login

2. 检查资源组状态与订阅限制 #

• 手动在Azure门户创建sls-weur-dev-zucora-apps-rg资源组，验证是否能成功，排查是否有条件访问策略或资源策略阻止创建操作。
• 检查订阅是否存在只读锁定：进入订阅页面 → 左侧「设置」→「锁定」，确认无限制写入的锁定规则。

3. 明确指定已存在的资源组 #

若目标资源组已存在，修改serverless.yml直接指定该资源组，避免Serverless尝试创建新组：

provider:
  name: azure
  resourceGroup: sls-weur-dev-zucora-apps-rg # 替换为已存在的资源组名称

4. 验证RBAC权限的作用范围 #

• 进入Azure门户→订阅→IAM→角色分配，搜索你的账号，确认角色分配的作用范围是「订阅」（而非仅单个资源组），且权限为直接分配（非组继承）。
• 若通过组继承权限，等待15-30分钟让权限同步，再重试部署。

5. 排查Azure AD条件访问策略 #

管理员账号可能被条件访问策略限制：进入Azure AD→安全→条件访问，查看是否有策略阻止账号执行资源组写入操作（如MFA要求、IP范围限制等）。

6. 降级Serverless Azure插件版本 #

部分新版本插件可能存在权限验证bug，尝试切换到稳定版本：

npm uninstall serverless-azure-functions
npm install serverless-azure-functions@3.2.0

内容的提问来源于stack exchange，提问作者Raman Saini