如何为Azure服务主体SP_2添加订阅1的网络参与者RBAC权限？

步骤1：获取SPN_2的对象ID #

首先需要获取服务主体SPN_2的对象ID，执行以下命令（替换<SPN_2的应用ID>为实际的SPN客户端ID）：

az ad sp show --id <SPN_2的应用ID> --query id -o tsv

该命令会直接输出SPN_2的对象ID字符串，可复制备用。

步骤2：分配网络参与者角色 #

有两种方式执行角色分配：

方式一：先切换到Subscription_1再分配

1. 切换目标订阅为Subscription_1（替换<Subscription_1的ID或名称>为实际值）：

az account set --subscription <Subscription_1的ID或名称>

2. 为SPN_2分配“网络参与者”角色（替换<SPN_2的对象ID>为步骤1获取的值）：

az role assignment create --assignee <SPN_2的对象ID> --role "Network Contributor"

方式二：直接指定订阅ID执行分配（无需切换订阅）

如果不想切换当前订阅上下文，可直接在命令中指定Subscription_1的信息，一步完成分配：

az role assignment create --assignee <SPN_2的对象ID> --role "Network Contributor" --subscription <Subscription_1的ID或名称>

验证分配结果（可选） #

执行以下命令验证角色是否成功分配：

az role assignment list --assignee <SPN_2的对象ID> --subscription <Subscription_1的ID或名称> --query "[].roleDefinitionName" -o tsv

若输出包含Network Contributor，则表示分配成功。

内容的提问来源于stack exchange，提问作者MouIdri