发布至Azure Function后调用QueryWorkspaceAsync返回403权限不足错误

问题原因 #

本地运行时，代码使用的是你本地开发环境的Azure账号权限（比如Azure CLI/Visual Studio登录的账号），该账号拥有Log Analytics工作区的访问权限；但发布到Azure后，Function默认使用系统分配托管身份，这个身份未被授予Log Analytics工作区的查询权限，因此触发403错误。

解决步骤 #

• 为Function托管身份添加Log Analytics权限

  1. 登录Azure门户，找到目标Log Analytics工作区
  2. 进入「访问控制(IAM)」页面
  3. 点击「添加」→「添加角色分配」
  4. 在角色列表中选择Log Analytics Reader（仅查询需求）或Log Analytics Contributor（需修改操作）
  5. 成员类型选择「托管身份」，点击「选择成员」，找到你的Timer Trigger Function对应的系统分配托管身份，完成添加
  6. 等待5-10分钟让RBAC权限生效

• 确认客户端初始化逻辑
  确保代码中使用DefaultAzureCredential初始化LogsQueryClient，它会自动适配本地开发和生产环境的身份验证：

  using Azure.Identity;
  using Azure.Monitor.Query;
  
  // 正确的客户端初始化方式
  var client = new LogsQueryClient(new DefaultAzureCredential());
  

• 排查RBAC限制
  检查工作区所在的资源组或订阅是否存在「拒绝分配」规则，确认没有限制托管身份的Log Analytics访问权限；同时在「访问控制(IAM)」的「角色分配」列表中，验证托管身份已成功添加对应的权限角色。

内容的提问来源于stack exchange，提问作者Whey