Service Principal在Azure创建资源时IAC部署失败问题咨询

按优先级从高到低排查，90%以上的同类问题都能在前两步定位：

1. 先纠正核心认知误区 #

RBAC角色权限和Azure Policy管控是两套完全独立的访问控制链路，给服务主体分配资源组创建的所有者级权限，不代表可以自动绕过Deny效果的策略拦截，所有Deny策略的优先级高于所有RBAC允许权限，这是这类问题最常见的认知偏差。

2. 权限链路校验 #

• 先确认自定义角色的权限配置无问题：打开自定义角色定义，确认Actions列表明确包含Microsoft.Resources/subscriptions/resourceGroups/write权限，且该权限没有被列在NotActions里，不要想当然认为“所有者级别”就一定包含所有权限。
• 校验服务主体身份一致性：打开Azure DevOps里使用的服务连接，复制对应的服务主体客户端ID、对象ID、租户ID，到Azure AD里核对，确保和你分配自定义角色的服务主体是同一个，不要出现同名SP混淆、服务连接误用了系统托管身份的情况。可以在流水线里加一个前置CLI步骤执行az account show，确认当前登录上下文的身份确实是目标SP，再执行az role assignment list --assignee <SP对象ID> --scope /subscriptions/<你的订阅ID>，确认自定义角色确实在该范围下生效、没有配置过期时间。
• 检查是否存在隐藏的拒绝分配：在订阅的访问控制（IAM）页切到「拒绝分配」 tab，查看是否有针对该SP的拒绝规则，Azure Policy的Deny效果、Azure Blueprints的管控规则都会生成系统级的拒绝分配，这类分配默认不会在常规角色列表里显示。

3. Azure Policy配置校验 #

• 先提取部署失败的完整错误日志，找到日志里的policyEvaluationResult字段，核对拦截请求的具体策略ID，不要默认拦截一定来自你自己配置的那条禁止创建RG的策略，订阅/管理组继承的其他Deny策略（比如强制标签、区域限制、RG命名规范类策略）也会报同类错误。
• 针对拦截的策略配置豁免：如果确实是你配置的禁止创建RG策略拦截了请求，直接在策略侧给目标服务主体配置策略豁免（Policy Exemption），豁免范围选对应订阅，豁免主体选该服务主体即可，不要试图靠提升RBAC权限绕过Deny策略，包括所有者角色在内的所有内置角色都没有默认绕过Deny策略的权限。
• 检查策略的作用域：如果禁止创建RG的策略是挂载在上级管理组的，你在订阅级做的角色配置不会影响管理组策略的生效逻辑，需要到对应管理组层级配置策略豁免才会生效。

4. IaC部署链路校验 #

• 做最小场景复现：本地用目标服务主体的凭据登录Azure CLI，执行az group create -n test-validation-rg -l eastasia（区域替换成你常用的），如果本地执行就报错，问题和DevOps流水线无关，回到权限、策略环节排查；如果本地创建成功，问题出在DevOps侧配置。
• 核对部署作用域：如果你的IaC模板（ARM/Bicep/Terraform）里包含资源组创建逻辑，需要把部署范围设置为订阅级部署，如果误选了资源组级部署，本身就会因为作用域不匹配报创建失败。
• 升级任务和模块版本：如果用的是3个月前的Terraform Azurerm provider、Azure DevOps ARM部署任务旧版本，可能存在身份上下文传递丢失的bug，升级到最新稳定版重试即可。

5. 边界场景排查 #

• 如果开了PIM（特权身份管理），检查你给SP分配的自定义角色是不是合格分配，如果是合格分配需要配置自动化角色激活逻辑，否则SP默认没有拿到有效权限。
• 检查订阅状态：确认订阅没有进入禁用、欠费状态，同时核对资源组配额是否充足，配额不足、订阅欠费的报错经常和权限不足报错混淆。
• 检查是否配置了管理组层级的自定义管控规则，部分企业环境会在管理组配置额外的资源创建拦截规则，不受订阅级配置影响。

内容的提问来源于stack exchange，提问作者Josh Ov