Azure Functions枚举多订阅资源：用内置IAM还是应用注册？

核心结论 #

你的思路完全正确——给Azure Functions的系统分配托管标识配置IAM权限，就能让它访问跨订阅的资源，这是Azure环境下更安全、更简洁的方案，比手动使用应用注册更推荐。

具体操作要点 #

• 先在Azure Functions的「身份」设置里启用系统分配托管标识，这是平台自带的身份，不用手动创建应用注册，也不用在代码里存储敏感凭据。
• 然后在你需要枚举资源的每个目标订阅上，给这个托管标识分配Reader角色（如果仅需只读权限），或者根据需求配置更精细的自定义角色。
• 代码里只需调用Connect-AzAccount -Identity命令，就能通过托管标识自动完成Azure登录，无需额外的认证逻辑。

为什么不推荐手动应用注册？ #

手动创建的应用注册需要在代码里维护客户端ID、密钥等敏感信息，不仅增加维护成本，还提升了凭据泄露的风险。而托管标识由Azure自动管理生命周期，密钥会定期轮换，完全无需手动干预，安全性和易用性都更优。

额外排查提示 #

如果配置完IAM后仍无结果，可以检查这几点：

• 确认托管标识已被正确添加到目标订阅的IAM列表中，IAM权限可能存在10-15分钟的生效延迟，可稍作等待后重试。
• 检查代码中是否残留本地调试用的凭据，确保使用-Identity参数完成登录。
• 查看Azure Functions的「监测」→「日志」，定位是否有明确的权限拒绝报错，快速排查问题。

内容的提问来源于stack exchange，提问作者DJ K