使用Azure DevOps更新ContainerApp镜像时遇AuthorizationFailed错误求助

使用Azure DevOps流水线（基于VMSS自托管代理池）更新ContainerApp时，执行以下流程遇到权限错误：

1. 通过AZ CLI命令为ContainerApp创建系统分配托管标识
2. 尝试执行角色分配命令，为该标识在私有ACR上分配AcrPull角色：

az role assignment create \
          --assignee-object-id $PRINCIPALID \
          --assignee-principal-type ServicePrincipal \
          --role AcrPull \
          --scope /subscriptions/$(SUBSCRIPTION)/resourceGroups/$(RG_NAME)/providers/Microsoft.ContainerRegistry/registries/$(acrContainerName)

流水线返回错误：

(AuthorizationFailed) The client '3447a78f-2d20-4a27-abcd-4050272e5946' with object id '3447a78f-2d20-4a27-abcd-4050272e5946' does not have authorization or an ABAC condition not fulfilled to perform action 'Microsoft.Authorization/roleAssignments/write' over scope '/subscriptions/12d3e9402-cddbf-4272-83b5-c479199032d6/resourceGroups/my-infra-rg/providers/Microsoft.ContainerRegistry/registries/abccacrxqkglrt4qana4/providers/Microsoft.Authorization/roleAssignments/7722b8ef0-9418-4093-z230-152e422cc29d' or the scope is invalid

已知信息：

• 本地CLI可正常执行该操作，本人拥有订阅级User Access Administrator权限
• 流水线使用AzureCLI@2任务，配置如下：

- task: AzureCLI@2
  inputs:
    azureSubscription: $(armDeploymentServiceConnection)
    scriptType: 'bash'
    scriptLocation: 'inlineScript'

• 在Azure门户中搜索错误中的客户端ID3447a78f-2d20-4a27-abcd-4050272e5946，结果显示不存在

1. 排查ARM服务连接的身份权限 #

流水线执行命令使用的是armDeploymentServiceConnection对应的身份，而非你本地用户身份，需确认该身份的权限：

• 登录Azure门户，找到该服务连接对应的服务主体（服务主体认证）或托管标识（托管标识认证）
• 为该身份分配ACR资源范围内的User Access Administrator/Owner权限，或直接授予Microsoft.Authorization/roleAssignments/write权限

2. 验证服务连接有效性 #

• 确认服务连接的认证类型：
  • 服务主体认证：检查主体是否存在、未过期，且有权访问目标订阅和资源组
  • 托管标识认证：确认自托管代理所在VMSS的托管标识已正确配置，且拥有对应权限
• 在DevOps项目设置→服务连接中，找到该连接并执行“测试连接”，确认连通正常

3. 确保系统托管标识同步完成 #

创建系统分配托管标识后可能存在AD同步延迟，可添加等待逻辑：

# 循环查询直到标识同步完成，获取有效PRINCIPALID
until PRINCIPALID=$(az containerapp identity show --name <containerapp-name> --resource-group <rg-name> --query principalId -o tsv); do
  sleep 5
done

4. 检查角色分配命令参数 #

• 添加echo $PRINCIPALID命令，确认变量值正确
• 核对--scope参数的订阅ID、资源组、ACR名称是否无误
• 尝试省略--assignee-principal-type ServicePrincipal参数，让CLI自动识别身份类型

5. 排查自托管代理身份冲突 #

若自托管代理使用系统托管标识，需确保：

• VMSS的系统托管标识已启用，且有权访问Azure AD及目标资源
• 代理未使用本地缓存的其他身份，导致CLI命令误用错误身份

内容的提问来源于stack exchange，提问作者Coder