如何在ARM模板中分配Reservations Reader/Administrator角色？

我正在构建一个用于Azure Reservations自定义通知的Logic App，目前尝试通过ARM模板实现自动化部署。

部署的关键步骤之一是为Logic App的托管标识分配读取所有预留的权限，该操作可通过PowerShell完成。

我已在ARM模板中添加以下资源：

{        
    "type": "Microsoft.Authorization/roleAssignments",        
    "apiVersion": "2020-10-01-preview",        
    "name": "[guid('ReservationReaderAssignment', subscription().id, parameters('logicAppName'))]",        
    "properties": {            
        "roleDefinitionId": "[resourceId('Microsoft.Authorization/roleDefinitions', '582fc458-8989-419f-a480-75249bc5db7e')]",            
        "principalId": "[reference(resourceId('Microsoft.Logic/workflows', parameters('logicAppName')), '2019-05-01', 'Full').identity.principalId]",            
        "principalType": "ServicePrincipal"        
    },        
    "dependsOn": [            
        "[resourceId('Microsoft.Logic/workflows', parameters('logicAppName'))]"        
    ]    
}

角色的GUID（582fc458-8989-419f-a480-75249bc5db7e）来自门户中的Reservations Reader角色。

部署模板时，我收到错误：

... The role Reservations Reader is not available for assignment at the requested scope. ...

由于文档说明该操作需在租户级别完成，我尝试将scope设置为/，但仍出现相同错误；尝试/providers/Microsoft.Compute则收到错误：... The resource namespace 'providers' is invalid ...。

请问如何正确添加该角色分配？

Reservations Reader角色属于租户级别的角色定义，无法通过常规的ARM模板（订阅/资源组范围部署）直接分配，核心原因是：

1. 该角色仅支持在租户根范围（/）或特定的账单相关作用域分配，普通订阅/资源组范围不支持此角色的权限映射。
2. 即使指定scope: "/"，常规ARM模板部署的权限默认无法覆盖租户级角色分配操作，需要特殊部署方式和权限。

推荐采用以下两种可行方案：

方案1：使用租户级ARM模板部署 #

将角色分配资源放在租户级模板中，部署时指定根作用域，同时确保部署账号拥有租户级权限（如全局管理员、用户访问管理员）。

修改后的角色分配资源示例：

{        
    "type": "Microsoft.Authorization/roleAssignments",        
    "apiVersion": "2022-04-01", // 使用稳定版API避免预览版问题
    "name": "[guid('ReservationReaderAssignment', tenant().id, parameters('logicAppName'))]",        
    "properties": {            
        "roleDefinitionId": "[tenantResourceId('Microsoft.Authorization/roleDefinitions', '582fc458-8989-419f-a480-75249bc5db7e')]", // 用tenantResourceId获取租户级角色定义ID
        "principalId": "[reference(resourceId('Microsoft.Logic/workflows', parameters('logicAppName')), '2019-05-01', 'Full').identity.principalId]",            
        "principalType": "ServicePrincipal"        
    },        
    "dependsOn": [            
        "[resourceId('Microsoft.Logic/workflows', parameters('logicAppName'))]"        
    ]    
}

部署命令示例（PowerShell）：

New-AzTenantDeployment -TemplateFile .\tenant-role-assignment.json -TemplateParameterFile .\params.json

方案2：在ARM模板中嵌入PowerShell脚本执行分配 #

如果无法使用租户级部署，可通过Microsoft.Resources/deploymentScripts资源嵌入PowerShell命令，完成租户级角色分配：

{
    "type": "Microsoft.Resources/deploymentScripts",
    "apiVersion": "2020-10-01",
    "name": "AssignReservationReaderRole",
    "location": "[resourceGroup().location]",
    "dependsOn": [
        "[resourceId('Microsoft.Logic/workflows', parameters('logicAppName'))]"
    ],
    "kind": "AzurePowerShell",
    "properties": {
        "forceUpdateTag": "[utcNow()]",
        "azPowerShellVersion": "7.2",
        "scriptContent": "
            $logicApp = Get-AzLogicApp -ResourceGroupName '${resourceGroup().name}' -Name '${parameters('logicAppName')}'
            $principalId = $logicApp.Identity.PrincipalId
            $roleDefinition = Get-AzRoleDefinition -Name 'Reservations Reader'
            New-AzRoleAssignment -Scope '/' -RoleDefinitionId $roleDefinition.Id -PrincipalId $principalId -PrincipalType ServicePrincipal
        ",
        "cleanupPreference": "OnSuccess",
        "timeout": "PT1H"
    }
}

注意：执行该脚本的部署账号必须具备租户级角色分配权限，且Logic App已启用系统分配的托管标识。

关键检查项 #

• 确认Logic App的系统托管标识已启用，否则principalId会为空导致分配失败。
• 部署账号需拥有User Access Administrator或更高权限的租户级角色，才能完成租户范围的角色分配。

内容的提问来源于stack exchange，提问作者Marcel