Azure Pipeline跨资源组部署Container Apps遇权限禁止问题求助

问题核心 #

跨资源组部署时出现Forbidden错误，本质是权限链不完整：要么Azure Pipelines的服务主体缺少跨资源组的操作权限，要么目标Container App的托管标识没有访问ACR的权限。

解决方案 #

1. 补全Azure Pipelines服务主体的权限 #

Pipeline使用的服务连接对应的服务主体（SP）需要同时拥有以下权限：

• 在rg-core资源组（ACR所在组）：分配AcrPull角色，允许拉取镜像；
• 在rg-sandbox-1/rg-sandbox-2资源组：分配Container App Contributor或Contributor角色，允许更新Container App。

操作步骤：

• 登录Azure Portal，找到对应服务连接的服务主体（在「Azure Active Directory」→「企业应用」中搜索服务连接名称）；
• 分别进入rg-core、rg-sandbox-1/rg-sandbox-2的「访问控制（IAM）」→「添加角色分配」；
• 选择对应角色，将服务主体添加为角色成员。

2. 给目标Container App的托管标识添加ACR访问权限 #

每个沙箱环境的Container App（ca-sandbox-1/ca-sandbox-2）需要有权限从acrcore拉取镜像，需为其托管标识分配ACR的AcrPull角色：

• 进入acrcore的「访问控制（IAM）」→「添加角色分配」；
• 选择「AcrPull」角色，在成员选择中找到对应Container App的系统分配托管标识（或用户分配标识，若使用），完成添加。

3. 调整Pipeline任务的服务连接范围 #

检查AzureContainerAppsRC@0任务中的azureSubscription配置：

• 确保使用的是订阅级服务连接，而非仅针对rg-core的资源组级连接。资源组级连接无法访问其他资源组的资源，会触发权限拒绝。

4. 替代方案：使用Azure CLI任务部署 #

如果上述配置仍有问题，可直接用Azure CLI任务替代AzureContainerAppsRC@0，利用你已知的CLI跨资源组部署能力：

- task: AzureCLI@2
  displayName: '更新ca-sandbox-1镜像'
  inputs:
    azureSubscription: '你的订阅服务连接'
    scriptType: 'bash'
    inlineScript: |
      az containerapp update -n ca-sandbox-1 -g rg-sandbox-1 --image acrcore.azurecr.io/api-sandbox:$(Build.BuildId)

验证逻辑 #

同资源组部署正常，说明镜像构建推送、单资源组内权限没问题；CLI/VSCode能跨资源组成功，说明手动使用的身份（比如你的用户账号）有足够权限，核心差异就是Pipeline使用的服务主体权限不足，补全权限即可解决。

内容的提问来源于stack exchange，提问作者Luis Lopez