Azure Bicep配置AAD诊断至Event Hub的范围及资源找不到问题

问题核心 #

当前部署报错ResourceNotFound，根源在于两点：

• 错误使用Microsoft.AzureActiveDirectory/b2cDirectories资源类型，普通Azure AD租户对应的资源类型是Microsoft.AzureActiveDirectory/tenant，且该资源属于租户级资源，不存在于任何资源组中。
• 模块部署范围设置为资源组级别，无法正确引用租户级AAD资源，直接用tenant()时未配置模块的租户级部署权限。

修正步骤 #

1. 调整模块部署范围为租户级 #

在门面Bicep中，将模块的scope从资源组改为租户级，确保模块能访问租户级资源：

module diagnosticsAAD 'diagnosticSettingAAD.bicep' = [for ds in diagnosticSettingsAAD: {
  name: 'Diagnostics-${ds.diagnosticType}'
  // 改为租户级部署范围
  scope: tenant(ds.resourceSubId)
  dependsOn: [eventHubs]
  params: {
    diagnosticName: ds.diagnosticName
    eventHubAuthorizationRuleId: ds.eventHubAuthorizationRuleId
    eventHubName: ds.eventHubName
    diagnosticType: ds.diagnosticType
    resourceName: ds.resourceName
    logs: ds.logs
    metrics: ds.metrics
  }
}]

2. 修正AAD资源类型与引用方式 #

底层模块中，替换错误的资源类型，并以租户级范围引用现有AAD资源：

// 替换原有的b2cDirectories资源引用
resource activeDir 'Microsoft.AzureActiveDirectory/tenant@2021-04-01' existing = {
  name: resourceName
  // 明确指定租户级范围
  scope: tenant()
}

3. 调整诊断设置的资源定义 #

租户级AAD的诊断设置需对应租户级资源定义，修正后的代码：

resource diagAADSetting 'Microsoft.Insights/diagnosticSettings@2021-05-01-preview' = if (diagnosticType == 'AAD') { 
  name: diagnosticName  
  scope: activeDir
  properties: { 
    eventHubAuthorizationRuleId: eventHubAuthorizationRuleId
    eventHubName: eventHubName
    logs: diagnosticsLogConfig
    metrics: diagnosticsMetricConfig
    logAnalyticsDestinationType: 'Dedicated' 
  } 
}

4. 更新配置JSON参数 #

由于AAD不属于资源组，移除配置中的resourceRG参数，并确保resourceName填写租户ID（GUID）或主域名：

{
    "diagnosticSettingsAAD": {
        "value": [
            {
                "diagnosticType": "AAD",
                "diagnosticName": "my-diag",
                "resourceSubId": "123",             
                "resourceName": "your-tenant-id-or-domain", // 示例：xxxx-xxxx-xxxx-xxxx 或 contoso.onmicrosoft.com
                "eventHubName": "my-evh",
                "eventHubAuthorizationRuleId": "/subscriptions/123/resourcegroups/my-rg/providers/Microsoft.EventHub/namespaces/my-evhns/authorizationrules/RootManageSharedAccessKey",
                "logs": [
                    "AuditLogs",
                    "SignInLogs",
                    "ManagedIdentitySignInLogs",
                    "ProvisioningLogs"
                ],
                "metrics": []                   
            }       
        ]
    }
}

关键注意事项 #

• 权限要求：部署租户级模块需要账号拥有租户级权限（如Microsoft.Authorization/roleAssignments/write）。
• 租户标识：resourceName必须填写租户ID或主域名，不能使用自定义名称如"AAD (Dev)"。
• 资源类型区分：B2C目录用b2cDirectories，普通AAD租户用tenant，二者不可混淆。

内容的提问来源于stack exchange，提问作者Raymondo