如何在Bicep中为函数应用分配自定义RBAC角色并解决权限问题

第一步：解决GitHub Actions服务主体权限不足问题 #

你遇到的Microsoft.Authorization/roleAssignments/write权限缺失，是因为执行Bicep部署的GitHub Actions服务主体没有足够权限。需要给该服务主体分配能创建角色定义和角色分配的权限：

• 最简单的方式是在目标订阅或资源组层级，给服务主体分配User Access Administrator内置角色（若权限范围可接受）；
• 若要遵循最小权限原则，可创建自定义角色，包含以下权限：
  • Microsoft.Authorization/roleDefinitions/write（用于创建自定义角色）
  • Microsoft.Authorization/roleAssignments/write（用于分配角色）

第二步：在Bicep中定义自定义RBAC角色 #

假设你需要的自定义角色包含存储Blob数据写入相关权限（可替代或补充Storage Blob Data Owner），以下是Bicep代码示例：

// 定义自定义RBAC角色，具备存储Blob数据写入权限
resource customBlobRole 'Microsoft.Authorization/roleDefinitions@2022-04-01' = {
  name: guid(subscription().id, 'custom-blob-data-writer')
  properties: {
    roleName: 'Custom Storage Blob Data Writer'
    description: 'Custom role with storage blob data write permissions'
    type: 'CustomRole'
    permissions: [
      {
        actions: [
          'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'
          'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'
          // 按需添加其他所需权限
        ]
        notActions: []
        dataActions: [
          'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'
          'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'
        ]
        notDataActions: []
      }
    ]
    assignableScopes: [
      resourceGroup().id // 限制角色可分配的范围，比如当前资源组
      // 也可指定订阅ID：subscription().id
    ]
  }
}

第三步：将自定义角色分配给函数应用 #

结合你提供的角色分配代码，只需将roleDefinitionResourceId替换为自定义角色的ID，同时确保principalId是函数应用的服务主体ID：

// 假设已定义函数应用资源
resource functionApp 'Microsoft.Web/sites@2022-09-01' = {
  name: 'your-function-app-name'
  // 函数应用的其他配置...
  identity: {
    type: 'SystemAssigned' // 启用系统分配托管标识
  }
}

// 获取函数应用的系统分配托管标识ID
var functionAppPrincipalId = functionApp.identity.principalId

// 分配自定义角色给函数应用
resource roleAssignmentStorage 'Microsoft.Authorization/roleAssignments@2020-04-01-preview' = {
  name: guid(subscription().id, functionAppPrincipalId, customBlobRole.id)
  properties: {
    roleDefinitionId: customBlobRole.id
    principalId: functionAppPrincipalId
    principalType: 'ServicePrincipal'
  }
}

注意事项 #

• 如果函数应用使用用户分配托管标识，需将functionAppPrincipalId替换为用户分配标识的principalId；
• 可调整角色分配的范围（比如存储账户级别），只需修改roleAssignmentStorage的父资源，或在properties中添加scope属性；
• 自定义角色的assignableScopes必须包含角色分配的目标范围，否则会触发权限错误。

内容的提问来源于stack exchange，提问作者Bobby Jose