拥有Contributor权限仍无法删除自动创建的Resource Group

你遇到的DenyAssignmentAuthorizationFailed错误，核心原因是目标资源组上存在Azure自动创建的拒绝分配（Deny Assignment）——这类权限规则通常由托管服务（比如你提到的managedEnvironment、Function Apps自动部署）生成，用来保护关联的系统资源，会直接覆盖你的Contributor权限，阻止删除操作。

以下是具体解决步骤：

1. 确认拒绝分配详情 #

先明确资源组上的拒绝分配规则：

• 使用Azure CLI执行命令：

  az role assignment list --scope /subscriptions/4d81cdff-75ea-4082-a6ed-434ffb43gvfd43/resourceGroups/managedEnvironment_FunctionApps_c8a6-6b07-4183-9de8c6e00f30 --all --include-deny
  

• 或者在Azure门户中进入该资源组，打开「访问控制（IAM）」→「拒绝分配」标签页，查看对应规则的详细信息。

2. 清理残留的托管资源 #

即使你看不到资源组内的服务，可能存在隐藏的托管关联资源：

• 用CLI列出资源组内所有资源：

  az resource list --resource-group managedEnvironment_FunctionApps_c8a6-6b07-4183-9de8c6e00f30
  

如果发现残留资源，先通过对应服务的管理入口删除（比如先删除关联的managedEnvironment），再尝试删除资源组。

3. 删除拒绝分配规则（需高权限） #

Contributor权限无法管理拒绝分配，你需要订阅的Owner或User Access Administrator权限：

• 使用CLI删除指定拒绝分配（替换为错误信息中的拒绝分配ID）：

  az role assignment delete --id c8a66b0741839de8c6e00f30
  

• 或者在门户的「拒绝分配」页面找到对应规则，直接点击删除。

4. 强制删除资源组（备用方案） #

如果上述步骤无效，尝试用CLI强制删除：

az group delete --name managedEnvironment_FunctionApps_c8a6-6b07-4183-9de8c6e00f30 --force --yes

注意：删除拒绝分配前，确认没有其他服务依赖该资源组；如果没有高权限，联系订阅管理员协助处理。

内容的提问来源于stack exchange，提问作者AliOz