通过Azure PowerShell为Azure托管标识分配AD角色报错排查

导致Object reference not set to an instance of an object错误的核心问题及修复方案：

问题点梳理 #

• 变量名写错：判断角色是否已分配时，用了未定义的$IsAppRoleAssigned，实际应该用前面定义的$IsAppRoleAssigned_UserAdministrator，逻辑判断完全失效。
• 角色分配查询参数错误：Get-AzureADMSRoleAssignment的-Id参数是查询角色分配的唯一ID，不是托管标识的ObjectId，应该用-Filter按主体ID过滤，否则返回空值后访问属性直接报错。
• 空值未校验：没提前检查$managedIdentityObjectId（比如托管标识未启用）、$roleUserAdministrator（权限不足查不到角色）是否为空，直接访问属性触发空引用。
• 角色创建参数错误：新建角色分配时，误用了$IsAppRoleAssigned_UserAdministrator.Id，实际应该用目标角色$roleUserAdministrator.Id。

修复后的完整代码 #

[CmdletBinding()]
param (
    $functionAppDeltaSyncName,
    $logicAppName_d365hrpublisher,
    $logicAppName_d365hrsubscriber,
    $resourceGroupName
)

# 仅在未安装模块时才安装，避免重复耗时
if (-not (Get-Module -ListAvailable -Name AzureADPreview)) {
    Install-Module -Name AzureADPreview -Force -AllowClobber
}
Import-Module AzureADPreview -Force

$appArray = $functionAppDeltaSyncName, $logicAppName_d365hrpublisher, $logicAppName_d365hrsubscriber

$aadAccessToken = Get-AzAccessToken -ResourceTypeName AadGraph
$context = Get-AzContext
if (-not $context) {
    throw "未获取到Azure上下文，检查管道服务主体的授权配置"
}
Connect-AzureAD -AadAccessToken $aadAccessToken.Token -AccountId $context.Account.Id -TenantId $context.Tenant.Id

# 提前查询User Administrator角色，避免循环内重复请求
$roleUserAdministrator = Get-AzureADMSRoleDefinition -Filter "displayName eq 'User Administrator'"
if (-not $roleUserAdministrator) {
    throw "找不到User Administrator角色，检查服务主体是否具备目录权限"
}

foreach ($appName in $appArray) {
    # 先确认应用存在且托管标识已启用
    $appResource = Get-AzFunctionApp -Name $appName -ResourceGroupName $resourceGroupName -ErrorAction SilentlyContinue
    if (-not $appResource) {
        Write-Warning "资源组$resourceGroupName中未找到应用$appName"
        continue
    }
    $managedIdentityObjectId = $appResource.IdentityPrincipalId
    if (-not $managedIdentityObjectId) {
        Write-Warning "应用$appName未启用系统分配托管标识，请先启用"
        continue
    }

    # 查询该主体是否已拥有目标角色分配
    $existingRoleAssignment = Get-AzureADMSRoleAssignment -Filter "principalId eq '$managedIdentityObjectId' and roleDefinitionId eq '$($roleUserAdministrator.Id)'"

    if (-not $existingRoleAssignment) {
        try {
            New-AzureADMSRoleAssignment `
                -DirectoryScopeId '/' `
                -RoleDefinitionId $roleUserAdministrator.Id `
                -PrincipalId $managedIdentityObjectId
            Write-Host "已成功为应用$appName的托管标识分配User Administrator角色"
        }
        catch {
            Write-Error "为$appName分配角色失败：$_"
        }
    }
    else {
        Write-Host "$appName的托管标识已拥有User Administrator角色，无需重复分配"
    }
}

额外注意事项 #

• 管道使用的服务主体必须具备目录角色管理员或全局管理员权限，否则无法分配User Administrator这类高权限角色。
• 如果使用的是用户分配托管标识，需要调整Get-AzFunctionApp的逻辑，改为获取用户分配标识的ObjectId。
• 建议替换为Microsoft Graph PowerShell模块，AzureADPreview已进入维护模式，MSGraph模块更稳定且功能更全面。

内容的提问来源于stack exchange，提问作者Loc Dai Le