如何通过自动化为用户托管标识批量添加多资源组RBAC角色？

当然可以通过CLI、PowerShell、Terraform实现批量配置，以下是具体操作方式：

Azure CLI 实现 #

1. 准备目标资源组列表（可手动指定或从订阅筛选）：

# 方式1：手动指定资源组名称
TARGET_RGS=("rg-01" "rg-02" "rg-03")
# 方式2：获取订阅内所有资源组
TARGET_RGS=$(az group list --query "[].name" -o tsv)

2. 遍历资源组批量分配RBAC角色（替换<托管标识ObjectID>和<角色名称>，例如"Contributor"）：

MANAGED_IDENTITY_OBJECT_ID="<托管标识ObjectID>"
ROLE_NAME="<角色名称>"

for rg in "${TARGET_RGS[@]}"
do
  az role assignment create \
    --assignee "$MANAGED_IDENTITY_OBJECT_ID" \
    --role "$ROLE_NAME" \
    --resource-group "$rg"
done

PowerShell 实现 #

1. 获取目标资源组集合：

# 方式1：手动指定资源组名称
$targetRgs = @("rg-01", "rg-02", "rg-03")
# 方式2：获取订阅内所有资源组
$targetRgs = Get-AzResourceGroup | Select-Object -ExpandProperty ResourceGroupName

2. 循环执行角色分配：

$managedIdentityObjectId = "<托管标识ObjectID>"
$roleName = "<角色名称>"

foreach ($rg in $targetRgs) {
    New-AzRoleAssignment `
        -ObjectId $managedIdentityObjectId `
        -RoleDefinitionName $roleName `
        -ResourceGroupName $rg
}

Terraform 实现 #

通过for_each遍历资源组批量创建角色分配：

# 定义目标资源组列表变量
variable "target_resource_groups" {
  type    = list(string)
  default = ["rg-01", "rg-02", "rg-03"]
}

# 托管标识ObjectID变量
variable "managed_identity_object_id" {
  type = string
}

# 要分配的角色名称变量
variable "role_name" {
  type = string
  default = "Contributor"
}

# 获取目标角色的定义ID
data "azurerm_role_definition" "target_role" {
  name = var.role_name
}

# 获取当前订阅ID（用于拼接资源组scope）
data "azurerm_subscription" "current" {}

# 批量创建RBAC角色分配
resource "azurerm_role_assignment" "mi_rbac" {
  for_each             = toset(var.target_resource_groups)
  scope                = "/subscriptions/${data.azurerm_subscription.current.id}/resourceGroups/${each.value}"
  role_definition_id   = data.azurerm_role_definition.target_role.id
  principal_id         = var.managed_identity_object_id
}

使用时在terraform.tfvars中填入托管标识ObjectID和目标资源组列表，执行terraform init、terraform plan、terraform apply即可完成批量配置。

内容的提问来源于stack exchange，提问作者AZEng