Azure关联GitHub后授权失败：如何分配订阅级角色？

错误原因 #

Microsoft.Resources/deployments/validate/action 操作的作用域是订阅级别，而非资源组级别。你当前仅给服务主体分配了资源组的Contributor角色，缺少订阅级的对应权限，因此在ARM模板验证阶段触发了授权失败。

是否需要订阅级角色？ #

是的，但无需直接分配订阅级的Contributor（权限过大，存在安全风险），推荐分配Deployment Contributor角色——这个角色包含部署相关的必要权限（包括模板验证），同时权限范围更可控。

订阅级角色分配方法 #

方式1：Azure Portal操作 #

• 登录Azure Portal，进入「订阅」页面并选中目标订阅
• 左侧导航栏选择「访问控制(IAM)」
• 点击「添加」→「添加角色分配」
• 在角色列表中找到「Deployment Contributor」，点击「下一步」
• 切换到「成员」标签，选择「用户、组或服务主体」，点击「选择成员」，搜索你的服务主体名称并选中，完成选择后点击「下一步」
• 确认角色、成员和作用域信息无误后，点击「查看+分配」完成操作

方式2：Azure CLI命令 #

1. 先获取服务主体的Object ID：

az ad sp show --id <你的服务主体应用ID> --query id -o tsv

2. 执行角色分配命令（替换占位符为你的实际信息）：

az role assignment create --assignee <服务主体Object ID> --role "Deployment Contributor" --scope "/subscriptions/<你的订阅ID>"

可选：自定义精细化角色 #

如果遵循最小权限原则，可以创建仅包含模板验证权限的自定义角色，再结合资源组的Contributor角色：

1. 在订阅的「访问控制(IAM)」页面，点击「角色」→「添加自定义角色」
2. 选择「从JSON创建」，填入以下JSON（替换占位符并调整描述）：

{
  "Name": "ARM模板验证权限角色",
  "Description": "允许在订阅级别验证ARM模板",
  "Actions": [
    "Microsoft.Resources/deployments/validate/action"
  ],
  "NotActions": [],
  "AssignableScopes": [
    "/subscriptions/<你的订阅ID>"
  ]
}

3. 角色创建完成后，按照前述方式分配给服务主体即可

内容的提问来源于stack exchange，提问作者Fred