拥有所需权限仍无法通过Azure Pipelines部署ARM模板，求排查建议

• 检查部署用的服务主体权限
  Azure Pipelines部署ARM模板默认使用服务主体而非你的个人账号，哪怕你个人权限足够，也要确认部署任务关联的服务主体是否拥有目标资源组的Contributor或Owner权限。如果模板涉及托管服务类资源（比如托管标识、Azure Arc资源），还要给服务主体添加对应资源提供商的权限，比如Microsoft.ManagedIdentity/userAssignedIdentities/write（针对创建用户分配托管标识）。

• 验证API权限的类型与状态
  从你提供的API权限截图来看，要确认两点：一是权限是否为应用权限（服务主体仅识别应用权限，委托权限无效）；二是这些权限是否已经获得管理员同意，未授权的权限无法实际生效。

• 排查模板中的隐含操作权限
  有些ARM模板包含嵌套部署或依赖资源的自动配置，比如创建虚拟机时自动启用系统托管标识，这类操作需要服务主体同时拥有虚拟机创建权限和托管标识的管理权限。可以把模板拆分成小模块逐一测试，定位具体是哪个资源部署触发了权限错误。

• 用Azure CLI手动验证权限
  用部署任务的服务主体登录Azure CLI，手动执行模板部署操作，能精准定位权限问题：

  az login --service-principal -u <服务主体客户端ID> -p <服务主体密钥> --tenant <租户ID>
  az group deployment create --resource-group <目标资源组> --template-file <本地模板路径>
  

  如果手动执行也报错，错误信息会更明确指向需要的权限。

内容的提问来源于stack exchange，提问作者Boris87