跨订阅推送Function App自定义日志至Log Analytics Workspace遇400错误如何解决

Azure支持跨订阅将Function App的自定义日志推送到Log Analytics Workspace，你遇到的400错误请求通常是权限配置、ARM模板参数错误或API兼容性问题导致的，可按以下步骤排查解决：

1. 配置目标Log Analytics Workspace的权限 #

• 确保订阅A中Function App的身份（系统托管标识或用户托管标识）在订阅B的Log Analytics Workspace上被分配Log Analytics Contributor或Monitoring Contributor角色。
• 若使用系统托管标识，需先在Function App的"身份"设置中启用它，再前往订阅B的Workspace，通过"访问控制(IAM)"添加角色分配。

2. 修正ARM模板中的资源ID参数 #

• 跨订阅场景下，Log Analytics Workspace的资源ID必须使用完整的跨订阅格式：

  /subscriptions/{订阅B的ID}/resourceGroups/{目标资源组名}/providers/Microsoft.OperationalInsights/workspaces/{Workspace名称}
  

• 检查ARM模板中workspaceId参数是否使用上述完整ID，避免仅填写Workspace名称或同订阅的相对资源路径。

3. 验证诊断设置的API版本和请求格式 #

• 确保模板中Microsoft.Insights/diagnosticSettings资源使用的API版本不低于2021-05-01-preview，旧版本API对跨订阅诊断设置的支持有限。
• 确认诊断设置的配置中，workspaceId字段正确引用跨订阅Workspace的完整资源ID，无拼写或格式错误。

4. 检查Log Analytics Workspace的网络限制 #

• 如果目标Workspace启用了防火墙或虚拟网络隔离，需将订阅A中Function App的出站IP地址加入Workspace的允许列表，或把Function App所在的虚拟网络添加到Workspace的受信任网络中。

5. 手动测试排除模板问题 #

• 先通过Azure门户手动为订阅A的Function App创建诊断设置，选择订阅B的Log Analytics Workspace，确认是否能成功创建。若手动操作正常，对比门户生成的配置与ARM模板的差异，修正模板中的错误项。

内容的提问来源于stack exchange，提问作者dev333