将Azure Monitor接入K8s部署的Grafana时遇权限错误求助

问题根源 #

默认的Reader角色并不包含microsoft.insights/metricNamespaces/read权限，而这个操作是Grafana拉取Azure Monitor指标命名空间的必要权限，因此会出现授权失败的错误。

解决方案 #

选项1：使用内置Monitoring Reader角色 #

直接为应用注册分配Monitoring Reader内置角色，该角色包含所有Azure Monitor相关的读取权限，完全满足Grafana的需求：

• 进入Azure门户，找到目标订阅或资源组
• 打开「访问控制(IAM)」→「添加」→「添加角色分配」
• 角色选择「Monitoring Reader」，成员选择你的应用注册，完成分配

选项2：创建最小权限的自定义角色 #

如果不想使用权限范围过大的内置角色，可以创建仅包含所需权限的自定义角色：

1. 进入Azure门户的「订阅」页面，打开「访问控制(IAM)」→「添加」→「添加自定义角色」
2. 在「权限」步骤，搜索并添加以下权限：
   • microsoft.insights/metricNamespaces/read
   • microsoft.insights/metrics/read
   • microsoft.resources/subscriptions/resourceGroups/read
3. 完成角色创建后，将其分配给你的应用注册，作用范围选择目标订阅或资源组

验证步骤 #

• 权限分配后等待5-10分钟（Azure RBAC权限生效存在延迟）
• 回到Grafana的Azure Monitor数据源设置页面，点击「Save & Test」重新验证连接
• 刷新仪表盘，确认错误是否消失

额外排查点 #

• 确认权限的作用范围覆盖了你需要监控的所有资源所在的订阅/资源组
• 若之前分配过多个角色，可暂时移除多余角色，仅保留上述推荐角色进行测试，排除权限冲突问题

内容的提问来源于stack exchange，提问作者Beerus239