Azure DevOps服务连接（Contributor角色）无法访问资源且az resources list无结果

问题描述 #

拥有包含ACR（容器注册表）和App Configuration服务的Azure订阅，通过Azure DevOps服务连接访问Azure的流水线中，该服务连接已对两个资源分配Contributor角色，但使用Az Client任务的流水线无法查看/访问资源，执行az resources list也无法返回目标资源。个人订阅同配置可正常运行，用相同权限的用户账户在PowerShell控制台操作也能正常访问。

排查与解决方案 #

• 确认服务连接的订阅匹配
  进入Azure DevOps项目设置→服务连接，找到目标Azure资源管理器连接，查看其关联的订阅ID，与ACR、App Configuration所在的订阅ID比对，确保未选错订阅。

• 检查RBAC角色分配的作用域
  验证Contributor角色是否分配在目标资源本身、资源所在的资源组或订阅层级，而非父管理组或其他无关层级。错误的作用域会导致服务主体无法继承访问权限，需重新调整角色分配的作用域。

• 模拟服务主体权限验证

  1. 在Azure AD企业应用中找到服务连接对应的服务主体，获取其ID、客户端密钥（或证书）及租户ID。
  2. 本地执行az login --service-principal -u <服务主体ID> -p <客户端密钥> --tenant <租户ID>登录服务主体。
  3. 运行针对性资源查询命令：
     • az resources list --resource-type Microsoft.ContainerRegistry/registries
     • az resources list --resource-type Microsoft.AppConfiguration/configurationStores
       若本地也无法返回资源，说明权限配置存在问题，需重新检查RBAC分配；若本地能返回，则问题出在流水线配置或代理网络。

• 验证流水线Azure CLI任务的上下文
  在Az Client任务中添加az account show命令，查看当前登录的订阅ID与租户ID是否匹配目标资源；同时确认任务的“Azure订阅”下拉框已选择正确的服务连接，避免误选其他连接。

• 检查资源的网络限制
  ACR和App Configuration可能配置了防火墙/虚拟网络访问限制：

  • 若使用Microsoft托管代理，其IP为动态，临时关闭资源的网络限制进行测试，若恢复访问，需将Azure DevOps托管代理的IP范围添加至资源允许列表。
  • 若使用自托管代理，确认代理所在IP已在资源的允许列表中。

• 查看Azure活动日志排查拒绝事件
  进入Azure门户→目标订阅→活动日志，筛选事件发起者为服务主体ID，操作名称为“列出资源”等相关操作，查看是否有“拒绝”事件及具体原因（如权限不足、网络拦截等）。

• 排查RBAC拒绝分配
  检查是否存在针对该服务主体的Deny类型RBAC角色分配（拒绝权限会优先覆盖允许权限）：

  • 进入Azure AD企业应用→目标服务主体→权限页面查看；
  • 或在Azure订阅的IAM→拒绝分配页面检查是否有相关规则。

内容的提问来源于stack exchange，提问作者Gilberto Linares