如何基于标签为Azure DevOps管道SP分配资源组级角色权限

针对你提到的场景，不需要给流水线服务主体（SP）开放订阅级的无限制权限，通过标签标记+带条件的自定义角色就能实现仅对SP自己创建的资源组进行角色分配的需求，具体步骤如下：

1. 给流水线创建的资源组统一加专属标签 #

在Azure DevOps流水线的资源组创建步骤中，添加固定标签（比如CreatedBy: DevOpsPipelineSP，这里的DevOpsPipelineSP换成你的流水线SP的唯一标识，比如名称或应用ID）。确保所有由该SP创建的资源组都自动带上这个标签，后续权限控制全靠这个标签做筛选。

2. 创建带条件的自定义角色 #

创建一个仅包含角色分配必要权限的自定义角色，同时通过角色条件限制仅能操作带指定标签的资源组：

自定义角色JSON示例 #

{
  "Name": "Pipeline-Role-Assign-Owned-RG",
  "IsCustom": true,
  "Description": "仅允许对流水线SP创建的资源组进行角色分配操作",
  "Actions": [
    "Microsoft.Authorization/roleAssignments/write",
    "Microsoft.Authorization/roleAssignments/read",
    "Microsoft.Authorization/roleDefinitions/read"
  ],
  "NotActions": [],
  "AssignableScopes": [
    "/subscriptions/你的订阅ID"
  ],
  "Condition": "@Resource[Microsoft.Resources/subscriptions/resourceGroups, 'tags.CreatedBy'] StringEquals 'DevOpsPipelineSP'",
  "ConditionVersion": "2.0"
}

• 权限说明：roleAssignments/write用于创建角色分配，read权限用于查看角色定义和已有分配，满足Key Vault给Web App分配角色的需求。
• 条件说明：通过tags.CreatedBy标签匹配，确保SP只能操作自己创建的资源组。

3. 给流水线SP分配这个自定义角色 #

在订阅级别把这个自定义角色分配给你的流水线SP。虽然是订阅级分配，但因为有角色条件的限制，SP只能对带指定标签的资源组（也就是它自己创建的那些）进行角色分配操作，完全无法触及其他资源组，实现了最小权限的管控。

补充说明 #

• 目前Azure的ABAC角色条件已经支持绝大多数管理类权限（不止存储账户的数据操作角色），你之前查阅的文档可能是旧版本内容，现在可以放心给角色分配相关权限加条件。
• 如果有多个流水线SP，给每个SP设置不同的标签值，对应不同的自定义角色条件即可，互不影响。

内容的提问来源于stack exchange，提问作者Ericsson de Oliveira