运行Azure WebJob遇权限错误，如何转换为所需IAM权限？

错误提示表明执行WebJob的身份（应用/服务主体）缺少读取目标Web App发布凭据的权限。以下是遵循最小权限原则的解决方案，拒绝授予Contributor角色：

一、自定义最小权限角色（推荐） #

创建仅包含所需操作的自定义IAM角色，实现精准授权：

1. 编写角色定义JSON（替换占位符为你的实际资源信息）：

{
  "Name": "Web App Publishing Credentials Reader",
  "IsCustom": true,
  "Description": "仅允许读取指定Web App的发布凭据配置",
  "Actions": [
    "Microsoft.Web/sites/config/list/action"
  ],
  "NotActions": [],
  "AssignableScopes": [
    "/subscriptions/[你的订阅ID]/resourceGroups/[你的资源组]/providers/Microsoft.Web/sites/[你的WebApp名称]"
  ]
}

2. 通过Azure CLI创建角色：

az role definition create --role-definition "./web-app-pub-cred-reader.json"

3. 角色分配：将该自定义角色授予执行WebJob的身份，授予范围严格限定为目标Web App资源（即错误信息中的/subscriptions/[redacted]/resourceGroups/[redacted]/providers/Microsoft.Web/sites/[redacted]），避免扩大权限范围。

二、内置角色替代方案（次优） #

若无需极致精准，可使用内置的Reader角色，该角色包含所有资源的只读权限（包括Microsoft.Web/sites/config/list/action），权限范围虽比自定义角色宽，但远小于Contributor角色。同样需将角色分配范围限定为目标Web App资源。

内容的提问来源于stack exchange，提问作者InteXX