如何修改ARM模板，为指定主体ID分配订阅所有者角色？

问题现状 #

当前使用的ARM模板和Azure CLI命令，意外将资源组所有者角色分配给目标Principal ID，而非预期的订阅所有者角色。执行命令的用户已具备订阅所有者权限，权限层面无问题。

需要修改的内容 #

1. 调整CLI部署命令（核心修改） #

原命令使用az deployment group create，这是资源组范围的部署命令，会自动将角色绑定到指定资源组。要切换到订阅级部署，需改用订阅级部署命令：

原命令：

az deployment group create --resource-group myRgName --template-file myTemplateName.json --parameters principalId=<service-principal-id>

修改后命令：

az deployment sub create --location eastus --template-file myTemplateName.json --parameters principalId=<service-principal-id>

说明：--location是订阅级部署的必填参数，可替换为你需要的Azure区域（如westus、southeastasia等）

2. ARM模板优化（可选但更规范） #

原模板的Schema已经是订阅级的（2018-05-01/subscriptionDeploymentTemplate.json#），无需修改Schema，但可以做两处优化：

• 修正参数描述的错误信息
• 避免硬编码角色定义ID，改用参数引用

修改后的完整模板：

{
  "$schema": "https://schema.management.azure.com/schemas/2018-05-01/subscriptionDeploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "principalId": {
      "type": "string",
      "metadata": {
        "description": "Principal ID of the user/service principal that will be given owner access to the subscription"
      }
    },
    "roleDefinitionId": {
      "type": "string",
      "defaultValue": "8e3af657-a8ff-443c-a75c-2fe8c4bcb635",
      "metadata": { "description": "Role definition ID for the assignment - default is Owner role" }
    }
  },
  "variables": {
    "roleAssignmentName": "[guid(subscription().id, parameters('principalId'), parameters('roleDefinitionId'))]"
  },
  "resources": [
    {
      "type": "Microsoft.Authorization/roleAssignments",
      "apiVersion": "2020-08-01-preview",
      "name": "[variables('roleAssignmentName')]",
      "properties": {
        "roleDefinitionId": "[concat('/subscriptions/', subscription().subscriptionId, '/providers/Microsoft.Authorization/roleDefinitions/', parameters('roleDefinitionId'))]",
        "principalId": "[parameters('principalId')]"
      }
    }
  ]
}

说明：8e3af657-a8ff-443c-a75c-2fe8c4bcb635是Azure内置的所有者角色固定ID，无需修改。

验证方法 #

执行修改后的命令后，可通过以下命令验证订阅级角色分配：

az role assignment list --assignee <service-principal-id> --scope /subscriptions/<your-subscription-id>

内容的提问来源于stack exchange，提问作者CodeMed