Azure DevOps部署Bicep模板时遇Microsoft.Resources权限错误

我有一个可在VS Code中成功运行的Bicep文件，希望通过Azure DevOps进行部署，使用的Pipeline YAML配置如下：

task: AzureCLI@2    
displayName: Deploy Template
inputs:
  azureSubscription: ${{variables.azureSubscription}}
  scriptType: pscore
  scriptLocation: inlineScript
  inlineScript: az deployment group create `
    --resource-group rg-utrngen-${{variables.env}}-001 `
    --template-file bicep/utrngen.main.bicep `
    --parameters bicep/utrngen.parameters.${{variables.env}}.json

但执行时报错：

客户端'<服务连接对应的AAD应用注册对象ID>'（对象ID为'<服务连接对应的AAD应用注册对象ID>'）无权在范围'/subscriptions/<部署目标订阅ID>/resourcegroups/rg-utrngen-dev-001/providers/Microsoft.Resources/deployments/utrngen.main'上执行操作'Microsoft.Resources/deployments/validate/action'，或者范围无效。

该DevOps服务连接在其他Pipeline中可正常使用，以下是可能的原因和解决办法：

• 权限范围不匹配：其他Pipeline可能是在不同订阅/资源组下运行，或是执行的操作类型不同（比如不是资源组级部署），当前目标资源组并未给该服务连接对应的AAD应用注册分配足够权限。
• 核心权限缺失：需要给该AAD应用注册在目标资源组（如rg-utrngen-dev-001）上分配资源组部署参与者（Resource Group Deployment Contributor）角色——这个角色专门授权资源组级别的部署验证、创建操作；也可以直接分配参与者（Contributor）角色（权限范围更广）。
• 资源组未创建：如果目标资源组还不存在，部署命令会先尝试验证，但服务连接没有创建资源组的权限，也会触发此错误。先确认资源组是否已存在。

具体操作步骤 #

1. 登录Azure门户，找到目标资源组；
2. 进入「访问控制(IAM)」>「添加」>「添加角色分配」；
3. 搜索并选择「资源组部署参与者」或「参与者」角色；
4. 在「成员」页签，选择「用户、组或服务主体」，搜索该服务连接对应的AAD应用注册名称或对象ID，添加为成员；
5. 保存角色分配，等待几分钟让权限生效。

另外，也可以检查Pipeline中的变量渲染是否正确，比如${{variables.env}}是否正确输出为dev，确保资源组名称和参数文件路径无误。

内容的提问来源于stack exchange，提问作者Rob Bowman