如何解决托管应用App Service的LogStream访问403权限问题？

1. 明确预览应用的权限特殊性 #

面向预览受众的托管应用，LogStream的权限控制并非仅依赖常规Access Control IAM角色，而是需要结合发布时的预览受众设置与租户级应用权限授予共同生效。

2. 校验发布者租户权限配置 #

• 在发布者租户的已部署托管应用实例上，为操作账号添加Managed Application Operator或Managed Application Contributor角色（注意是在应用实例资源上添加，而非父资源组）。
• 确认操作账号属于发布者租户中预设的预览受众用户组/账号，预览应用的核心权限会限制在指定的预览受众范围内。

3. 排查客户租户权限与受众设置 #

• 检查客户租户的操作账号是否被纳入应用发布时指定的预览受众列表，若不在列表内，即使添加IAM角色也会被权限拦截。
• 尝试使用客户租户的全局管理员账号测试访问，排除普通账号的权限边界限制。

4. 分析API请求的权限上下文 #

• 打开开发者工具，查看/api/logstream/请求的Authorization头，确认令牌所属租户与应用实例所在租户一致，跨租户令牌会直接返回403。
• 检查令牌中的roles或scp声明，确认是否包含Microsoft.Solutions/applications/logstream/read权限，若缺失需在应用的Azure AD权限配置中添加该权限后重新发布。

5. 重新发布与同步应用权限 #

• 若上述配置均无误，重新发布预览版本的托管应用，确保权限配置同步到客户租户的应用实例。
• 在客户租户中卸载并重新安装应用，清除旧的权限缓存。

6. 检查Azure服务健康状态 #

• 确认Azure全局或对应区域的Managed Applications服务无故障，可通过Azure门户的服务健康板块查看。

内容的提问来源于stack exchange，提问作者Oleksa