使用Bicep为Key Vault分配角色时遇roleAssignments/write权限错误

问题 #

我通过GitHub Actions使用Bicep部署Azure资源，部署配置如下：

- name: Login
  uses: azure/login@v1
  with:
    creds: ${{ secrets.AZURE_CREDENTIALS }}
        
- name: Deploy Bicep file
  uses: azure/arm-deploy@v1
  with:
    scope: subscription
    subscriptionId: ${{ secrets.AZURE_CREDENTIALS_subscriptionId }}
    region: ${{ env.DEPLOY_REGION }}
    template: ${{ env.BICEP_ENTRY_FILE }}
    parameters: parameters.${{ inputs.selectedEnvironment }}.json

我的AZURE_CREDENTIALS基于以下命令生成的Contributor权限服务主体：

az ad sp create-for-rbac --n infra-bicep --role contributor --scopes /subscriptions/my-subscription-guid --sdk-auth

我使用的是启用RBAC的Azure Key Vault，此前Bicep部署正常，但当我尝试通过以下Bicep代码为Azure Web App分配Key Vault的Secrets User角色时：

var kvSecretsUser = '4633458b-17de-408a-b874-0445c86b69e6'
var kvSecretsUserRole = subscriptionResourceId('Microsoft.Authorization/roleDefinitions', kvSecretsUser)
resource kx_webapp_roleAssignments 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  name: 'kv-webapp-roleAssignments'
  scope: kv
  properties: {
    principalId: webappPrincipleId
    principalType: 'ServicePrincipal'
    roleDefinitionId: kvSecretsUserRole
  }
}

出现如下错误：

'Authorization failed for template resource 'kv-webapp-roleAssignments' 
of type 'Microsoft.Authorization/roleAssignments'. 
The client 'guid-value' with object id 'guid-value' does not have permission to perform action 
'Microsoft.Authorization/roleAssignments/write' at scope
 '/subscriptions/***/resourceGroups/rg-x/providers/Microsoft.KeyVault/vaults/
kv-x/providers/Microsoft.Authorization/roleAssignments/kv-webapp-roleAssignments'.'

请问所需的最小权限是什么？对应的az ad sp create-for-rbac命令应该如何编写？还有其他需要执行的步骤吗？

解决方案 #

1. 所需的最小权限 #

要在Key Vault范围内创建角色分配，服务主体至少需要以下两个权限：

• Microsoft.Authorization/roleAssignments/write：创建角色分配的核心权限
• Microsoft.Authorization/roleAssignments/read：验证目标角色定义存在的必要权限

实际应用中有两种权限配置方式：

• 内置角色方案：使用Key Vault Contributor内置角色，该角色包含Key Vault管理及角色分配的全量权限，比订阅级Contributor权限更窄，适合大多数场景
• 自定义角色方案：仅包含上述两个必要权限，实现严格的最小权限原则

2. 对应的az ad sp create-for-rbac命令 #

选项1：使用内置Key Vault Contributor角色（推荐）

如果仅需针对单个Key Vault操作：

az ad sp create-for-rbac --n infra-bicep --role "Key Vault Contributor" --scopes /subscriptions/my-subscription-guid/resourceGroups/rg-x/providers/Microsoft.KeyVault/vaults/kv-x --sdk-auth

如果需要部署该资源组内的其他资源，可将范围扩大到资源组：

az ad sp create-for-rbac --n infra-bicep --role "Key Vault Contributor" --scopes /subscriptions/my-subscription-guid/resourceGroups/rg-x --sdk-auth

选项2：创建自定义角色并分配

先编写自定义角色定义文件（例如kv-role-assign-role.json）：

{
  "Name": "Key Vault Role Assignment Creator",
  "Description": "仅允许在指定Key Vault上创建角色分配",
  "Actions": [
    "Microsoft.Authorization/roleAssignments/write",
    "Microsoft.Authorization/roleAssignments/read"
  ],
  "NotActions": [],
  "DataActions": [],
  "NotDataActions": [],
  "AssignableScopes": [
    "/subscriptions/my-subscription-guid/resourceGroups/rg-x/providers/Microsoft.KeyVault/vaults/kv-x"
  ]
}

然后执行命令创建角色并分配给服务主体：

# 创建自定义角色
az role definition create --role-definition kv-role-assign-role.json

# 分配角色给服务主体
az ad sp create-for-rbac --n infra-bicep --role "Key Vault Role Assignment Creator" --scopes /subscriptions/my-subscription-guid/resourceGroups/rg-x/providers/Microsoft.KeyVault/vaults/kv-x --sdk-auth

3. 其他需要执行的步骤 #

• 等待权限生效：Azure RBAC权限变更通常需要1-2分钟生效，执行命令后不要立即触发部署
• 验证Key Vault RBAC状态：在Azure门户的Key Vault -> 访问控制(IAM) -> 概述中，确认已启用"使用Azure RBAC授权访问密钥、机密和证书"
• 确认Web App主体ID正确性：通过az webapp identity show --name <webapp-name> --resource-group <rg-name>命令获取Web App的服务主体ID，确保Bicep中webappPrincipleId值正确
• 清理旧权限：如果之前使用了订阅级Contributor权限，建议删除该权限，避免过度授权

内容的提问来源于stack exchange，提问作者Adam