Runbook中使用托管身份创建Azure SQL Server遇Forbidden错误

排查方向及解决步骤 #

1. 确认RBAC角色分配的有效性 #

别只看角色已添加，要落实细节：

• 角色分配范围：必须覆盖目标订阅（或已存在的目标资源组），如果仅给某资源组分配角色，但要在新资源组创建SQL Server，权限肯定不生效
• 权限同步延迟：Azure RBAC权限不是即时生效的，刚分配完就执行Runbook，大概率需要等待10-15分钟再测试
• 身份ID匹配：分配角色时要用托管身份的对象ID，别用客户端ID，两者不匹配的话权限等于没配置

2. 验证Runbook的身份上下文 #

连接代码看似没问题，但要确认实际生效的上下文：
在连接代码后添加验证命令，输出当前身份和权限情况：

# 打印当前上下文核心信息
Get-AzContext | Select-Object Account, SubscriptionName, TenantId
# 检查该身份在目标订阅的角色
Get-AzRoleAssignment -ObjectId (Get-AzADServicePrincipal -ApplicationId "<account-client-id>").Id -Scope "/subscriptions/$subscriptionId"

如果Get-AzRoleAssignment未返回Contributor角色，说明角色分配环节存在问题；如果有返回，继续往下排查

3. 启用AD-only认证的额外权限要求 #

你使用了-EnableActiveDirectoryOnlyAuthentication参数，该操作除了订阅级Contributor权限，还需要Azure AD层面的权限：

• 托管身份必须拥有Azure AD全局管理员或Azure AD SQL管理员角色，因为启用AD-only认证需要修改Azure AD中的SQL管理员配置，仅订阅权限无法操作Azure AD层面的设置

4. 检查资源组的资源锁 #

如果目标资源组已存在，查看是否设置了资源锁：

Get-AzResourceLock -ResourceGroupName $rgName

如果存在只读锁或删除锁，即使拥有Contributor权限也无法创建新资源

5. 优化Runbook的连接逻辑 #

可以简化连接代码，减少上下文切换的潜在问题：

Disable-AzContextAutosave -Scope Process
# 直接登录并指定目标订阅
Connect-AzAccount -Identity -AccountId "<account-client-id>" -Subscription $subscriptionId
# 验证登录结果
$ctx = Get-AzContext
Write-Output "当前身份: $($ctx.Account.Id) | 目标订阅: $($ctx.Subscription.Name)"

内容的提问来源于stack exchange，提问作者Victor