使用Azure自动化Runbook写日志时获取工作区共享密钥遇403错误

尝试通过Azure自动化Runbook将日志写入Log Analytics工作区的自定义表时，触发权限禁止错误，即便服务主体(SPN)已配置**参与者(Contributor)**权限。

错误信息 #

HTTP状态码: Forbidden
错误详情：客户端'xxxxx'（对象ID'xxxx'）无权在范围'/subscriptions/xxxxx/resourcegroups/crdopssbx-Mallik-Test/providers/Microsoft.OperationalInsights/workspaces/Test-ResourceChanges'上执行操作'Microsoft.OperationalInsights/workspaces/sharedKeys/action'，或范围无效。若最近已授予权限，请刷新凭据。
请求ID: xxxxxx
UTC时间戳:11/17/2022 07:15:40
远程服务器返回错误: (403) Forbidden。

触发错误的命令 #

Get-AzOperationalInsightsWorkspaceSharedKeys -ResourceGroupName $resourceGroup -Name $workspaceName

• 补充缺失的权限
  参与者(Contributor)角色默认不包含Microsoft.OperationalInsights/workspaces/sharedKeys/action操作权限。需为SPN分配**Log Analytics参与者(Log Analytics Contributor)**内置角色，或创建包含该特定操作的自定义角色。
• 验证权限范围
  确认权限分配的范围覆盖目标Log Analytics工作区（直接分配到工作区、所在资源组或订阅级别），避免因范围不匹配导致权限无法生效。
• 刷新权限缓存
  若刚完成权限分配，Azure权限同步可能存在延迟，可重启Runbook作业或强制刷新SPN的凭据缓存，等待权限生效。
• 采用无共享密钥的替代方案
  可使用Azure Monitor数据收集规则(DCR)和数据收集端点(DCE)推送日志，通过SPN的日志写入权限完成操作，无需获取共享密钥，降低权限风险。

内容的提问来源于stack exchange，提问作者Mallikarjuna Reddy