Azure Pipeline执行Set-AzSqlServerActiveDirectoryAdministrator报Forbidden错误

在Azure流水线中执行Azure PowerShell任务，脚本在本地PowerShell控制台测试完全正常，但流水线运行时，数据库创建操作能成功完成，唯独执行Set-AzSqlServerActiveDirectoryAdministrator时抛出Forbidden错误。

完整内联脚本：

$my_rg = "xxxx"
$my_db = "xxx"
$my_server = "xxx"

$database = New-AzSqlDatabase  -ResourceGroupName $my_rg `
    -ServerName $my_server `
    -DatabaseName $my_db `
    -RequestedServiceObjectiveName "S1" `
    -Edition "Standard"

$database | Set-AzSqlServerActiveDirectoryAdministrator -DisplayName "xxxxx"

流水线错误输出：

========================== Starting Command Output ===========================
"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -NoLogo -NoProfile -NonInteractive -ExecutionPolicy Unrestricted -Command ". 'D:\a\_temp\17384b06-bf34-4f38-a0b3-8ade4268c4e6.ps1'"
Import-Module -Name C:\Modules\az_3.1.0\Az.Accounts\2.2.5\Az.Accounts.psd1 -Global
WARNING: Both Az and AzureRM modules were detected on this machine. Az and AzureRM modules cannot be imported in the 
same session or used in the same script or runbook. If you are running PowerShell in an environment you control you can
 use the 'Uninstall-AzureRm' cmdlet to remove all AzureRm modules from your machine. If you are running in Azure 
Automation, take care that none of your runbooks import both Az and AzureRM modules. More information can be found 
here: https://aka.ms/azps-migration-guide
Clear-AzContext -Scope CurrentUser -Force -ErrorAction SilentlyContinue
Clear-AzContext -Scope Process
Connect-AzAccount -ServicePrincipal -Tenant xxxxxxx -Credential System.Management.Automation.PSCredential -Environment AzureCloud @processScope
 Set-AzContext -SubscriptionId xxxx -TenantId xxxxxxxxxxx
##[error]Operation returned an invalid status code 'Forbidden'
##[error]PowerShell exited with code '1'.

1. 核心原因：权限范围不匹配 #

New-AzSqlDatabase只需要针对SQL数据库的Contributor权限即可执行，但Set-AzSqlServerActiveDirectoryAdministrator是针对SQL服务器的操作，需要更高权限：

• 至少需要SQL Server Contributor角色，或直接授予Microsoft.Sql/servers/administrators/write的细粒度权限；
• 自定义角色必须包含上述写入权限才能执行该操作。

2. 权限检查与修复步骤 #

• 登录Azure门户，定位到目标SQL服务器；
• 进入「访问控制(IAM)」页面；
• 查找流水线使用的服务主体（或对应服务连接的身份），确认其角色：
  • 若无合适角色，点击「添加角色分配」，选择SQL Server Contributor或包含对应权限的自定义角色，分配给该服务主体。

3. 脚本优化（可选但更清晰） #

虽然通过数据库对象管道可传递服务器信息，但直接指定服务器参数更直观，避免歧义：

# 替换原管道调用，直接指定服务器和资源组
Set-AzSqlServerActiveDirectoryAdministrator -ResourceGroupName $my_rg -ServerName $my_server -DisplayName "xxxxx"

4. 处理模块冲突警告 #

日志中的Az和AzureRM模块冲突警告虽不是直接报错原因，但长期可能引发其他问题：

• 使用微软托管代理时，在Azure PowerShell任务的「Azure PowerShell版本」选项中指定仅使用Az模块；
• 使用自托管代理时，执行Uninstall-AzureRm命令移除所有AzureRM模块。

内容的提问来源于stack exchange，提问作者learner