Azure自定义RBAC角色权限缺失：无法断开Function App的VNet集成

断开Function App的VNet集成操作并非仅依赖网络类权限，核心缺失的是对Function App站点配置的写入权限，以下是具体解决方案：

关键缺失权限 #

你需要为自定义RBAC角色添加Microsoft.Web/sites/config/write权限，原因如下：

• 断开VNet集成的本质是修改Function App的站点配置资源，networkConfig属于站点config的子资源，仅赋予Microsoft.Web/sites/networkConfig/*权限不足以触发完整的配置修改流程
• 参与者权限包含了所有资源的write类权限，因此可以正常执行该操作

最小权限配置建议 #

保留你已添加的网络相关权限（如Microsoft.Network/*），同时补充以下权限：

• Microsoft.Web/sites/config/write：覆盖Function App站点配置的写入操作，包含VNet集成配置的修改/移除
• 若需更精细化控制，可同时添加Microsoft.Web/sites/networkConfig/delete和Microsoft.Web/sites/networkConfig/write，但前者权限已被config/write覆盖

验证步骤 #

1. 编辑你的自定义RBAC角色，添加上述缺失的权限
2. 确保权限范围覆盖目标Function App所在的资源组或单个Function App
3. 让用户刷新Azure门户，重新尝试断开VNet集成操作

内容的提问来源于stack exchange，提问作者Shad Christopherson