如何修复Databricks访问连接器RBAC角色分配脚本空ObjectID问题？

问题描述 #

我尝试用PowerShell脚本给Databricks访问连接器分配存储账户的Storage Blob Data Contributor角色，但脚本运行失败。调试发现$accessConnector能正常输出包含Identity.PrincipalId的完整数据，但$accessConnectorObjectId变量为空，导致报错：

Access Connector Object ID: ERROR: argument --assignee: expected one argument

解决方案 #

核心问题分析 #

Get-AzDatabricksAccessConnector返回的对象中，Identity属性可能是嵌套结构或数组类型，直接通过.Identity.PrincipalId访问会因为属性层级不匹配导致空值。以下是具体修复方案：

• 强制逐层提取属性：使用PowerShell的Select-Object -ExpandProperty语法，确保正确穿透嵌套结构获取PrincipalId。
• 统一使用Az模块cmdlet：避免混合使用Az模块和Azure CLI带来的变量传递问题，改用New-AzRoleAssignment完成角色分配，更贴合PowerShell环境。

修改后的完整脚本 #

function Assign-RBACRoleToAccessConnector {
    param (
        [string] $rgName,
        [string] $acName,
        [string] $saName,
        [string] $subscriptionId
    )

    # 获取访问连接器对象并提取PrincipalId
    Write-Host "正在获取Databricks访问连接器..."
    $accessConnector = Get-AzDatabricksAccessConnector -ResourceGroupName $rgName -Name $acName
    
    # 逐层提取PrincipalId，处理Identity可能的嵌套/数组结构
    $accessConnectorObjectId = $accessConnector.Identity | Select-Object -ExpandProperty PrincipalId -ErrorAction Stop

    Write-Host "Access Connector Object ID: $accessConnectorObjectId"

    # 构建存储账户的资源范围
    $storageScope = "/subscriptions/$subscriptionId/resourceGroups/$rgName/providers/Microsoft.Storage/storageAccounts/$saName"

    # 使用PowerShell Az模块分配RBAC角色
    New-AzRoleAssignment -ObjectId $accessConnectorObjectId `
                         -RoleDefinitionName "Storage Blob Data Contributor" `
                         -Scope $storageScope
}

修改点说明 #

1. 属性提取优化：通过Select-Object -ExpandProperty逐层获取PrincipalId，避免因Identity的结构差异导致空值。
2. 替换Azure CLI命令：用New-AzRoleAssignment替代az role assignment create，统一使用PowerShell生态的工具，减少跨工具的变量兼容问题。
3. 错误处理增强：添加-ErrorAction Stop，确保属性提取失败时直接抛出错误，便于快速定位问题。

内容的提问来源于stack exchange，提问作者Greencolor