Azure RBAC问题：续期Let's Encrypt网站证书时授权失败

错误日志含义 #

LinkedAuthorizationFailed: 客户端对范围'/subscriptions/[redacted]/resourceGroups/[redacted]/providers/Microsoft.Web/certificates/[redacted]'拥有'Microsoft.Web/certificates/write'权限，但对链接范围'/subscriptions/[redacted]/resourceGroups/[redacted]/providers/Microsoft.Web/serverfarms/basic'无'write'权限。

这段日志直白说就是：你的应用注册账户虽然能修改目标证书，但续期证书时需要同时对关联的Basic层App Service Plan（也就是日志里的serverfarms/basic）做写入操作，而你的账户刚好没这个权限，所以授权失败了。

什么是「linked scope（链接范围）」 #

这里的linked scope指的是当前操作（证书续期）必须依赖的、和目标资源（证书）绑定的另一个Azure资源的权限范围。说白了，续期证书不只是改证书本身，还得操作它对应的App Service Plan，这个Plan的权限范围就是所谓的链接范围。

如何授予该资源的write权限 #

虽然你已经在资源组级别给应用注册加了WebSite Contributor角色，但可能有以下原因导致权限没生效，对应解决办法：

• 先确认角色分配是否覆盖到了App Service Plan：
  1. 登录Azure门户，找到你的Basic层App Service Plan（serverfarms/basic）
  2. 进入「访问控制(IAM)」页面，查看「角色分配」列表，确认你的应用注册账户是否在其中，且角色为WebSite Contributor（或包含Microsoft.Web/serverfarms/write权限的自定义角色）
• 如果资源组级别的分配没生效，直接给App Service Plan单独加权限：
  1. 在App Service Plan的「访问控制(IAM)」里，点击「添加」→「添加角色分配」
  2. 选中「WebSite Contributor」角色，搜索并选择你的应用注册账户，完成分配
• 耐心等权限同步：Azure的IAM权限有时候需要5-10分钟才能完全生效，分配后别立刻重试，等一会儿再操作证书续期

内容的提问来源于stack exchange，提问作者InteXX