借助Azure Arc安装AMA Agent遇403权限错误，求助解决方案

核心问题分析 #

Contributor角色默认不包含Azure Arc注册专属权限，加上客户设备无足够身份验证权限，直接导致脚本执行时返回403状态码。

修复步骤 #

• 给当前Contributor角色补充Microsoft.HybridCompute/register/action权限，或直接分配Azure Arc Onboarding Contributor内置角色——该角色专门用于Arc设备注册，权限范围更精准。
• 核对脚本参数：确认--tenant-id、--subscription-id、--resource-group参数无误，客户执行脚本前需用拥有对应Azure资源访问权限的身份完成登录（比如通过az login），若用服务主体则需确保其权限覆盖Arc注册环节。
• 排查设备网络：确保客户设备能访问Azure Arc必需端点（如management.azure.com、login.microsoftonline.com），网络拦截可能伪装成权限错误返回403。
• 检查DCR关联权限：若脚本绑定了Data Collection Rule（DCR），需确保你的Contributor角色拥有Microsoft.Insights/dataCollectionRules/write权限，同时Arc设备身份需具备Microsoft.Insights/dataCollectionRules/associate/action权限以完成DCR绑定。

执行前置验证 #

让客户在运行安装脚本前，先执行az account show确认当前登录账户的订阅访问权限，再启动安装流程。

内容的提问来源于stack exchange，提问作者martinix