如何通过ARM模板跨资源组创建Logic App与存储账户的连接？

这个问题我之前也碰到过，核心原因是ARM模板默认会在当前部署的资源组（也就是Logic App所在的资源组）里查找存储账户，但你的存储账户在另一个资源组，所以得明确指定跨资源组的完整资源ID才行。下面是具体的解决步骤和修改后的模板：

1. 新增存储账户资源组参数 #

首先，你需要在模板的parameters里新增一个参数，用来指定存储账户所在的资源组名称：

"parameters": {
  // 保留你现有其他参数
  "storageAccountResourceGroupName": {
    "type": "string",
    "metadata": {
      "description": "存储账户所在的资源组名称"
    }
  }
}

2. 修正存储账户ID变量 #

接下来，更新你的variables里的storageAccountId，确保它包含存储账户所在的资源组信息，而不是默认使用当前部署的资源组：

"variables": {
  "storageAccountId": "[concat('/subscriptions/', subscription().subscriptionId, '/resourceGroups/', parameters('storageAccountResourceGroupName'), '/providers/Microsoft.Storage/storageAccounts/', parameters('storageAccountName'))]"
}

这里用subscription().subscriptionId自动获取当前订阅ID，避免硬编码，同时通过新增的参数明确指定存储账户的资源组。

3. 修改连接模板的引用逻辑 #

最后，把你的连接模板里的listKeys部分改成使用这个正确的跨资源组ID，同时修正api部分的ID路径（托管API是区域级资源，不需要指定资源组）：

{
  "type": "Microsoft.Web/connections",
  "apiVersion": "2016-06-01",
  "name": "[parameters('storageConName')]",
  "location": "[parameters('logicAppLocation')]",
  "properties": {
    "displayName": "[parameters('storageConName')]",
    "parameterValues": {
      "accountName": "[parameters('storageAccountName')]",
      "accessKey": "[listKeys(variables('storageAccountId'), '2019-06-01').keys[0].value]"
    },
    "api": {
      "id": "[concat('/subscriptions/', subscription().subscriptionId, '/providers/Microsoft.Web/locations/', parameters('logicAppLocation'), '/managedApis/azureblob')]"
    }
  }
}

额外注意：权限问题 #

部署这个模板的服务主体（比如DevOps管道里的服务连接）需要拥有存储账户所在资源组的权限，至少需要Storage Account Contributor角色，或者更细粒度的List Keys权限，不然会出现权限不足的错误。

内容的提问来源于stack exchange，提问作者Redseven