Azure DevOps执行New-AzRoleAssignment报Forbidden错误求助

我尝试通过Azure DevOps流水线为存储账户分配“Storage Blob Data Contributor”权限，配置细节如下：

• 服务连接为TestSubscription，该连接所属组拥有订阅级Contributor RBAC权限，采用工作负载身份（workloadIdentity）创建
• 使用AzurePowerShell@5任务执行指定脚本，但在某仓库运行时返回“Operation returned an invalid status code 'Forbidden'”错误，相同配置在另一仓库可正常执行

任务配置 #

- task: AzurePowerShell@5
  displayName: "Set Permissions Storage Account for Service Principal"
  inputs:
    azureSubscription: 'TestSubscription'
    ScriptType: 'FilePath'
    ScriptPath: '$(Pipeline.Workspace)/drop/Scripts/SetStoragePermission.ps1'
    ScriptArguments: '-ResourceGroup $(ResourceGroup) -StorageAccountNameStaticWebApp $(StorageAccountNameStaticWebApp) -ClientIDAppRegistration $(ClientIDAppRegistration) -IDTestSubscription $(IDTestSubscription)'
    azurePowerShellVersion: 'LatestVersion'

脚本内容 #

param(
    [string]$ClientIDAppRegistration,
    [string]$IDTestSubscription,
    [string]$StorageAccountNameStaticWebApp,
    [string]$ResourceGroup
)

New-AzRoleAssignment -ApplicationId $ClientIDAppRegistration -RoleDefinitionName "Contributor" -Scope "/subscriptions/$($IDTestSubscription)/resourceGroups/$($ResourceGroup)/providers/Microsoft.Storage/storageAccounts/$($StorageAccountNameStaticWebApp)/"

排查与解决方法 #

• 检查仓库权限差异：前往出问题仓库的项目设置 > 仓库 > 目标仓库 > 权限，确认流水线服务主体（或所属组）拥有读取和执行权限，且无拒绝权限覆盖。
• 验证工作负载身份作用域：检查TestSubscription服务连接的工作负载身份配置，确认其信任的仓库列表包含当前出问题的仓库，未被遗漏。
• 手动验证RBAC权限：在Azure门户中使用该服务连接所属组的身份，尝试手动创建相同的角色分配，确认是否存在权限继承或延迟问题。
• 核对流水线变量：确认出问题流水线中的$(ResourceGroup)、$(StorageAccountNameStaticWebApp)等变量值正确，无拼写错误或环境资源不匹配情况。
• 统一PowerShell版本：避免使用LatestVersion，指定具体版本（如7.2.x），消除代理环境版本差异导致的API调用问题。
• 开启调试日志：在流水线运行页面启用调试日志，获取New-AzRoleAssignment命令的完整错误详情，定位是权限不足、资源不存在还是身份验证问题。

内容的提问来源于stack exchange，提问作者Sergio