Azure Automation获取AzRoleAssignment失败问题求助

我帮你梳理几个核心排查方向，一步步定位问题：

1. 先确认目标用户主体是否真的存在于当前租户 #

-SignInName参数只认Azure AD内的用户（包括受邀外部用户），如果你的$USEREMAIL是服务主体、AD组或者MSI，用这个参数肯定查不到。先跑个命令验证主体是否存在：

# 查询用户是否存在，返回结果则说明主体有效
Get-AzADUser -UserPrincipalName $USEREMAIL
# 如果是组就用Get-AzADGroup，服务主体用Get-AzADServicePrincipal

如果这条命令也返回“找不到”，那要么是邮箱拼写错了，要么这个用户根本没在当前Azure AD租户里（比如外部用户没被邀请）。

2. 验证RunAs账户的权限是否真的覆盖目标资源组 #

虽然你说RunAs账户是Owner，但得确认这个Owner权限是作用在目标资源组$USERRGNAME上，还是别的层级？比如如果是其他资源组的Owner，那访问这个资源组时会有权限问题。先验证RunAs账户能不能读取该资源组：

# 检查资源组是否可访问
Get-AzResourceGroup -Name $USERRGNAME

如果这条命令报错，说明RunAs账户对该资源组没权限，得去IAM里调整权限范围。

3. 排查变量传递的正确性 #

自动化脚本里的变量很容易踩坑，比如资源组名称大小写不对、邮箱带了多余空格，都会导致查询失败。建议在脚本开头加两行输出，确认变量值：

Write-Output "当前查询的资源组：$USERRGNAME"
Write-Output "当前查询的用户邮箱：$USEREMAIL"

看输出的变量值是不是和你预期的完全一致。

4. 外部用户/跨租户场景的特殊处理 #

如果$USEREMAIL是其他租户的外部用户，必须先把这个用户邀请到当前租户，否则Azure AD里找不到这个主体。可以用下面的命令确认外部用户的状态：

Get-AzADUser -UserPrincipalName $USEREMAIL | Select-Object Id, UserPrincipalName, DisplayName

如果返回结果为空，先去Azure AD的“外部协作”里邀请该用户，之后再查询。

5. 检查Az模块版本是否过时 #

Azure Automation里的Az模块如果版本太旧，可能会有参数兼容问题。去自动化账户的「模块」页面看看Az.Resources的版本，尽量更到最新稳定版。或者在脚本开头指定模块版本：

Import-Module Az.Resources -RequiredVersion 6.0.0

内容的提问来源于stack exchange，提问作者Makram