咨询创建Azure Function App所需的Azure权限（AD B2C自定义策略场景）

一、创建Azure Function的订阅级权限 #

• 若你是Azure订阅的所有者或参与者，直接拥有创建Function所需的全部权限，涵盖资源组创建、存储账户（Function依赖资源）创建、Function App部署等操作。
• 需细粒度权限时，至少需组合以下权限：
  • Microsoft.Web/sites/write：创建Function App实例
  • Microsoft.Storage/storageAccounts/write：创建Function依赖的存储账户
  • Microsoft.Resources/resourceGroups/write：若需新建资源组存放相关资源
  • 也可直接分配内置角色：网站参与者（Website Contributor）+ 存储账户参与者（Storage Account Contributor），再配合目标资源组的参与者权限，即可完成创建流程。

二、Azure AD B2C自定义策略交互所需权限 #

由于你的Function要对接B2C自定义策略，需给Function的身份（托管标识或手动注册应用）配置对应权限：

• 推荐使用系统托管标识：
  • 给该托管标识分配Azure AD B2C IEF Key Set Contributor角色：用于管理B2C自定义策略的密钥（如签名密钥、加密密钥）
  • 若需读取B2C用户数据，分配User.Read.All应用权限（需全局管理员同意）
• 使用手动注册的应用时：
  • 在B2C租户的应用注册中，添加针对Microsoft Graph的API权限：
    • Directory.Read.All：读取租户目录数据
    • Policy.Read.All：读取自定义策略定义
    • 若需修改策略或密钥，添加Policy.ReadWrite.All和KeyCredential.Create权限（均需全局管理员同意）
  • Function调用B2C自定义策略端点时，应用需具备openid权限以获取访问令牌。

三、额外注意事项 #

• 首次配置Azure AD B2C自定义策略时，操作账户需是B2C租户的全局管理员，用于启用自定义策略功能、初始化信任框架策略等。
• 遵循最小权限原则：团队协作场景下，优先给特定资源组的角色权限，而非整个订阅的高权限角色，降低安全风险。

内容的提问来源于stack exchange，提问作者1pax1b