Azure Logic App(消耗型)跨订阅查询资源图告警方法求助

1. 配置Logic App的跨订阅权限 #

首先要确保你的消耗型Logic App具备查询所有订阅的权限，步骤如下：

• 打开Logic App的Azure门户页面，进入身份→系统分配，开启托管身份并保存。
• 给这个托管身份分配权限：
  • 逐个进入需要查询的订阅，打开访问控制(IAM)→添加角色分配。
  • 角色选择Resource Graph Data Reader（最小权限，仅允许查询Resource Graph数据），成员类型选托管身份，搜索并选中你的Logic App，完成分配。
  • 若需要批量给所有订阅分配权限，可以在租户级别分配Resource Graph Data Reader角色（需租户管理员权限）。

2. 直接用Resource Graph连接器跨订阅查询（推荐） #

无需先通过ARM列订阅，Resource Graph本身支持跨订阅查询，只要权限足够：

• 在Logic App工作流中添加Microsoft Resource Graph连接器的Run query and list results操作。
• 配置参数：
  • Subscription IDs：留空或输入*，表示查询所有有权限的订阅。
  • Query：编写Kusto查询语句筛选未关闭告警，示例：

    AlertsManagementResources
    | where Status in ("Active", "New") // 筛选未关闭的告警状态
    | project AlertId, AlertName = Name, Status, SubscriptionId, ResourceGroup, TargetResource
    

  根据你的需求调整查询字段和筛选条件即可。

3. 动态获取订阅列表再查询（可选） #

如果你需要先获取所有订阅再传入查询（比如做额外过滤），解决ARM连接器失败的问题：

• 确保托管身份已在目标订阅或租户级别分配Subscription Reader角色。
• 添加ARM连接器的List subscriptions操作，认证方式选择系统托管身份（不要用用户账户）。
• 将List subscriptions返回的id字段（即订阅ID）集合，作为Resource Graph查询操作的Subscription IDs参数传入。

常见排查点 #

• 权限未生效：角色分配后可能需要等待5-10分钟才会生效，若仍无法查询，检查角色分配的范围是否覆盖目标订阅。
• 查询范围限制：确认Kusto查询中没有手动指定某个订阅ID的过滤条件。
• 连接器认证错误：所有连接器都要使用Logic App的系统托管身份，避免因用户凭据的订阅范围限制导致失败。

内容的提问来源于stack exchange，提问作者Travel free