Bicep部署Azure Policy：DeployIfNotExists部署资源组锁遇权限不足

问题根源 #

1. 策略分配的系统身份未被授予创建/管理资源锁的权限
2. 策略中指定的roleDefinitionIds使用了Contributor角色，该角色不具备Microsoft.Authorization/locks/write权限
3. 存在性判断条件错误，导致重复触发部署逻辑

具体解决方案 #

1. 修正Policy规则中的角色定义ID #

Contributor角色无法管理资源锁，需替换为具备锁管理权限的角色。可选择：

• Owner角色（快速验证，权限范围较大）：ID为8e3af657-a8ff-443c-a75c-2fe8c4bcb635
• 自定义角色（最小权限原则，推荐生产环境使用）

修改后的Policy规则片段：

roleDefinitionIds: [
  '/providers/Microsoft.Authorization/roleDefinitions/8e3af657-a8ff-443c-a75c-2fe8c4bcb635' // Owner角色
]

2. 为策略系统身份授予权限 #

在Bicep中添加角色分配资源，给策略的系统身份在目标范围（订阅/资源组）授予对应权限：

resource createAssignment 'Microsoft.Authorization/policyAssignments@2023-04-01' = if (policy.builtin == false)  {
  name : policy.name
  identity: {
    type: 'SystemAssigned'
  }
  location: location
  properties: {
    displayName: policy.displayName
    policyDefinitionId: policy.id
  }
}

// 为策略系统身份分配Owner角色（范围为当前订阅）
resource policyIdentityRoleAssignment 'Microsoft.Authorization/roleAssignments@2022-04-01' = if (policy.builtin == false) {
  name: guid(createAssignment.id, subscription().id, '/providers/Microsoft.Authorization/roleDefinitions/8e3af657-a8ff-443c-a75c-2fe8c4bcb635')
  properties: {
    roleDefinitionId: '/providers/Microsoft.Authorization/roleDefinitions/8e3af657-a8ff-443c-a75c-2fe8c4bcb635'
    principalId: createAssignment.identity.principalId
    scope: subscription().id
  }
}

3. 修正存在性判断逻辑 #

原策略中existenceCondition的equals值为ReadOnlyLock，但实际锁的level是ReadOnly，会导致存在性检查一直不通过，重复触发部署。修正后：

existenceCondition: {
  field: 'Microsoft.Authorization/locks/level'
  equals: 'ReadOnly'
}

最小权限优化（生产环境推荐） #

如果不想使用Owner角色，可创建自定义角色，仅包含必要权限：

resource lockManagementRole 'Microsoft.Authorization/roleDefinitions@2022-04-01' = {
  name: 'LockManagementRole'
  properties: {
    roleName: 'Lock Management Role'
    description: '允许创建和管理资源锁'
    permissions: [
      {
        actions: [
          'Microsoft.Authorization/locks/*'
          'Microsoft.Resources/deployments/*'
        ]
        notActions: []
      }
    ]
    assignableScopes: [
      subscription().id
    ]
  }
}

将策略中的roleDefinitionIds和角色分配中的roleDefinitionId替换为该自定义角色的ID即可。

内容的提问来源于stack exchange，提问作者BGB