Azure DevOps中执行New-AzRoleAssignment为ADLS授权失败求助

针对你在Azure DevOps管道PowerShell任务中执行角色分配脚本时遇到的Forbidden错误，可从以下几个方向排查解决：

• 检查执行脚本的服务主体权限
  执行New-AzRoleAssignment的服务主体（即Azure DevOps管道服务连接对应的SP）必须具备角色分配权限，至少需要RBAC管理员、所有者或用户访问管理员角色，权限作用范围需覆盖目标存储账户所在的订阅或资源组。可登录Azure门户，进入目标存储账户的「访问控制（IAM）」页面，核查该SP是否拥有对应权限。

• 确认目标服务主体的ObjectID准确性
  脚本中-ObjectID参数必须传入服务主体的对象ID（而非应用ID/客户端ID），可通过以下PowerShell命令验证：

  Get-AzADServicePrincipal -ApplicationId "你的应用ID" | Select-Object Id
  

  将输出的Id值与你脚本中的ObjectID对比，确保完全一致。

• 校验Scope参数的格式与正确性
  手动输入Scope路径易出现拼写错误，建议直接从Azure门户的目标存储账户「属性」页面复制完整的资源ID作为Scope参数，确保订阅ID、资源组名称、存储账户名称完全匹配。

• 验证Azure DevOps服务连接配置
  确认管道使用的服务连接已正确关联到目标订阅，且服务连接的SP拥有该订阅的访问权限。可在Azure DevOps项目设置的「服务连接」页面测试连接，验证能否正常访问目标订阅及资源组。

• 排查Azure AD权限限制
  若租户配置了条件访问策略，需确认该策略未限制服务主体执行角色分配操作；另外若订阅设置了权限边界，要确保执行角色分配的SP不受权限边界的限制，可正常执行RBAC相关操作。

内容的提问来源于stack exchange，提问作者sac