执行Set-AzDiagnosticSetting命令返回Forbidden错误如何解决

这个无具体错误信息的403是配置诊断设置时的典型权限缺失报错，你能正常创建Key Vault、存储账户、函数应用，仅代表资源部署相关权限配置正确，诊断设置配置涉及独立的权限要求，和资源创建权限不重叠。

排查路径 #

• 检查目标资源的诊断设置写入权限
  所有Azure资源的诊断设置配置，都要求调用方拥有目标资源范围下的Microsoft.Insights/diagnosticSettings/write操作权限，这个权限不属于虚拟机/存储/Key Vault等资源的内置贡献者角色的默认包含权限，自定义角色如果没手动添加就会拦截操作。
  验证命令（用服务主体上下文执行）：

  Get-AzRoleAssignment -ServicePrincipalName <替换为你的服务主体Application ID> -Scope $resource.ResourceId | Select-Object -ExpandProperty RoleDefinitionId | Get-AzRoleDefinition | Select-Object -ExpandProperty Actions
  

  检查返回的操作列表里是否包含Microsoft.Insights/diagnosticSettings/write，没有就是缺失该权限。
• 检查诊断接收端（存储账户）的访问权限
  当你配置诊断日志输出到存储账户时，Azure资源管理器在写入诊断设置前，会验证调用方是否有权限访问目标存储账户，要求必须拥有存储账户范围下的Microsoft.Storage/storageAccounts/listKeys/action权限，没有该权限会直接返回403，不会返回具体的权限缺失提示。
• 检查存储账户网络拦截规则
  如果诊断用的存储账户开启了防火墙/虚拟网络访问限制，且没有勾选「允许受信任的Microsoft服务访问此存储账户」，就算权限配置正确，诊断设置的写入请求也会被存储账户防火墙拦截，返回403。
• 检查Az PowerShell模块版本问题
  Az.Monitor模块版本低于4.8.0时，Set-AzDiagnosticSetting cmdlet存在已知bug，权限配置正确的场景下也可能抛出空信息的403错误，先执行以下命令升级模块排除版本问题：

  Update-Module -Name Az.Monitor -Force
  

修复方案 #

• 补全自定义角色权限：在你自定义角色的Actions配置项中，添加Microsoft.Insights/diagnosticSettings/write和Microsoft.Storage/storageAccounts/listKeys/action两个操作权限，如果自定义角色是订阅级分配，直接添加后保存即可生效；如果角色是资源组/资源级分配，需要确保角色范围覆盖目标资源和诊断存储账户。
• 校验拒绝分配与Azure Policy拦截：进入订阅/资源组的访问控制（IAM）页面，查看「拒绝分配」列表，确认没有策略或Azure蓝图生成的拒绝规则拦截上述两个操作；同时进入活动日志，筛选报错时间点的事件，查看是否有Azure Policy拒绝了诊断设置写入或存储密钥读取操作。
• 调整存储账户网络配置：进入诊断存储账户的「网络」配置页，在例外规则中勾选「允许受信任的Microsoft服务列表中的服务访问此存储账户」，保存配置后等待1分钟重试命令。
• 最小权限配置参考：如果不想调整现有自定义角色，也可以单独给服务主体分配两个内置角色满足需求：在需要配置诊断的目标资源范围分配「监控参与者(Monitoring Contributor)」角色，在诊断存储账户范围分配「存储账户密钥操作员服务角色(Storage Account Key Operator Service Role)」，不需要分配订阅级别的高权限角色即可完成诊断设置配置。

内容的提问来源于stack exchange，提问作者akhil