如何在Azure ARM部署中引用当前部署主体的ID？

1. ARM模板无法直接获取当前部署主体ID #

ARM的内置函数（比如deployment()、environment()）没法直接拿到执行部署的服务主体ID——这些函数只返回部署元数据（比如部署名称、时间）或Azure环境基础信息，不包含发起部署的身份标识。

2. 推荐的替代实现方式 #

方式一：流水线脚本动态获取并注入 #

在流水线中先通过Azure CLI或PowerShell获取当前服务主体的ID，再作为参数传入ARM模板：

• Azure CLI示例：

  # 获取当前登录服务主体的ID
  SP_ID=$(az ad sp show --id $(az account show --query user.name -o tsv) --query id -o tsv)
  # 部署ARM模板时传入参数
  az deployment group create --resource-group <你的资源组名> --template-file ./template.json --parameters spId=$SP_ID
  

• PowerShell示例：

  $spId = (Get-AzADServicePrincipal -ApplicationId (Get-AzContext).Account.Id).Id
  New-AzResourceGroupDeployment -ResourceGroupName <你的资源组名> -TemplateFile ./template.json -spId $spId
  

随后在ARM模板里定义spId参数，配置权限时直接引用即可：

"parameters": {
  "spId": {
    "type": "string",
    "metadata": {
      "description": "执行部署的服务主体ID"
    }
  }
},
// 示例：给存储账户配置Blob数据贡献者权限
"resources": [
  {
    "type": "Microsoft.Storage/storageAccounts/blobServices/providers/roleAssignments",
    "apiVersion": "2022-04-01",
    "name": "[concat(parameters('storageAccountName'), '/default/Microsoft.Authorization/', guid(parameters('storageAccountName'), parameters('spId')))]",
    "properties": {
      "roleDefinitionId": "[concat('/subscriptions/', subscription().subscriptionId, '/providers/Microsoft.Authorization/roleDefinitions/', 'b7e6dc6d-f1e8-4753-8033-0f276bb0955b')]", // Blob数据贡献者角色固定ID
      "principalId": "[parameters('spId')]"
    }
  }
]

方式二：Azure DevOps流水线直接用内置变量 #

如果用Azure DevOps流水线，无需额外脚本，直接用内置变量$(ServicePrincipalId)就能拿到当前执行流水线的服务主体ID：

• 在经典流水线的ARM部署任务中，在「Override template parameters」里添加：

  -spId $(ServicePrincipalId)
  

• 在YAML流水线中：

  - task: AzureResourceManagerTemplateDeployment@3
    inputs:
      azureResourceManagerConnection: '<你的服务连接名>'
      resourceGroupName: '<你的资源组名>'
      templateLocation: 'Linked artifact'
      csmFile: './template.json'
      overrideParameters: '-spId $(ServicePrincipalId)'
  

3. 额外注意事项 #

• 确保执行流水线的服务主体拥有读取自身信息的权限（默认的Directory Readers权限足够获取服务主体ID）。
• 如果需要给多个主体配置权限，可以把参数改成数组类型，批量传入多个SP ID。

内容的提问来源于stack exchange，提问作者Mathias Indermühle