如何使用PowerShell在订阅IAM中为服务主体添加Reader角色

操作步骤 #

• 登录Azure PowerShell
  打开PowerShell终端，执行登录命令：

  Connect-AzAccount
  

  若存在多个Azure订阅，需指定目标订阅：

  Set-AzContext -Subscription "你的订阅ID或订阅名称"
  

• 获取目标服务主体的ObjectId
  通过服务主体的显示名称查询：

  Get-AzADServicePrincipal -DisplayName "服务主体显示名称"
  

  或通过应用ID查询：

  Get-AzADServicePrincipal -ApplicationId "服务主体应用ID"
  

  从输出结果中记录ObjectId字段的值，后续分配角色需要用到。

• 分配Reader角色到服务主体
  执行角色分配命令，替换其中的参数值：

  New-AzRoleAssignment `
    -Scope "/subscriptions/你的订阅ID" `
    -RoleDefinitionName "Reader" `
    -ObjectId "服务主体的ObjectId"
  

验证与注意事项 #

• 验证角色分配
  执行以下命令确认角色是否成功分配：

  Get-AzRoleAssignment -ObjectId "服务主体的ObjectId" -RoleDefinitionName "Reader"
  

  若输出包含对应角色信息，则说明分配成功。

• 权限要求
  执行上述命令的账号需拥有该Azure订阅的Owner或User Access Administrator权限，否则会因权限不足报错。

• 其他注意点

  • 确保目标服务主体已在Azure AD中创建，若查询不到服务主体需先完成创建操作。
  • 若订阅ID不确定，可通过Get-AzSubscription命令查询所有订阅信息。

内容的提问来源于stack exchange，提问作者Harry