拥有Owner角色的Service Principal资源部署失败求助

错误1：InvalidResourceProviderPermissions #

• 问题核心：部署依赖的资源提供商服务主体（非你用于部署的Owner权限SP）缺少目标VNet的Network Contributor权限。
• 解决步骤：
  1. 定位对应资源提供商的服务主体ID：以ARO为例，执行命令获取：

     az ad sp list --display-name "Azure Red Hat OpenShift" --query "[0].id" -o tsv
     

  2. 为该服务主体分配Network Contributor权限到目标VNet：

     az role assignment create \
       --assignee <资源提供商SP的对象ID> \
       --role "Network Contributor" \
       --scope "/subscriptions/7662b628-/resourceGroups/test-aro/providers/Microsoft.Network/virtualNetworks/aro-vnet"
     

错误2：PrincipalTypeNotSupported #

• 问题核心：角色分配时指定的principalType不符合要求，常见误区是将Service Principal的类型错误写为Application。
• 解决步骤：
  1. 检查部署模板或CLI命令中的角色分配配置，移除错误的principalType参数（若未显式指定可跳过）。
  2. 若需显式指定，将principalType设置为ServicePrincipal（Azure中服务主体的标准类型值）。

错误3：InvalidPrincipalId #

• 问题核心：角色分配时使用的主体ID无效，大概率是误用了应用ID而非对象ID，或ID拼写错误。
• 解决步骤：
  1. 验证目标服务主体的对象ID：

     az ad sp show --id <你的SP应用ID> --query "id" -o tsv
     

  2. 在角色分配操作中，确保使用上述返回的对象ID而非应用ID，同时检查ID无拼写错误、多余空格。

补充说明 #

你用于部署的Service Principal虽拥有Owner权限，但部分Azure服务（如ARO）要求其对应的资源提供商服务主体单独拥有特定资源的权限，这是服务部署的特殊前置条件，需单独配置。

内容的提问来源于stack exchange，提问作者esngsrj