AZ CLI操作Azure ADF报AuthorizationFailed权限错误排查咨询

• 操作目标：通过AZ CLI执行Azure Data Factory（ADF）相关配置操作，当前对应订阅的Azure门户仅开放只读访问权限
• 运行环境：AZ CLI部署在Azure虚拟机上，虚拟机绑定的托管标识已被授予整个订阅范围的Contributor角色
• 异常现象：执行az login -i完成托管标识身份的AZ CLI登录后，运行az datafactory configure-factory-repo命令时返回授权失败错误，报错内容如下：

(AuthorizationFailed) The client 'CLIENT_ID' with object id
'CLIENT_ID' does not have authorization to perform action
'Microsoft.DataFactory/locations/configureFactoryRepo/action' over scope
'/subscriptions/SUBSCRIPTION_ID' or the scope is invalid.
If access was recently granted, please refresh your credentials.
Code: AuthorizationFailed Message: The client 'CLIENT_ID'
with object id 'CLIENT_ID' does not have authorization to
perform action 'Microsoft.DataFactory/locations/configureFactoryRepo/action' over scope
'/subscriptions/SUBSCRIPTION_ID' or the scope is invalid. If access
was recently granted, please refresh your credentials.

• 虚拟机绑定的Contributor角色确实包含Microsoft.DataFactory/locations/configureFactoryRepo/action操作权限
• 报错信息中返回的CLIENT_ID与执行命令所用虚拟机托管标识的principalId完全匹配
• 当前操作身份无Azure AD访问权限，无法直接调整AAD层面配置

• 校验AZ CLI当前生效的订阅上下文：执行az account show确认当前激活的订阅ID与授予Contributor角色的目标订阅ID完全一致。托管标识登录时若租户下存在多个订阅，可能默认选中无权限的订阅触发报错，确认不一致时执行az account set --subscription <目标订阅ID>切换上下文后重试。
• 检查各层级的拒绝分配（Deny Assignment）规则：Azure拒绝分配的优先级高于所有角色分配，若订阅、资源组或ADF实例层级存在由Azure策略、蓝图、只读锁生成的拒绝分配，拦截了Microsoft.DataFactory/locations/configureFactoryRepo/action操作，就算持有Contributor角色也会触发授权失败。可先执行az role assignment list --assignee <托管标识objectID> --include-inherited确认角色分配在目标订阅下实际生效，再执行az deny-assignment list --scope /subscriptions/<目标订阅ID> --assignee <托管标识objectID>排查是否存在命中对应操作的拒绝规则。
• 确认命令参数的区域配置正确性：执行az datafactory configure-factory-repo时必须显式传入--location参数，且参数值与目标ADF实例的实际部署区域完全匹配。漏传该参数时接口会默认路由到全局服务节点，权限校验会走错误的作用域触发报错。
• 强制刷新本地身份缓存：角色权限变更后，AZ CLI本地缓存的托管标识令牌不会实时同步最新权限，可执行az logout清空本地凭据后，重新运行az login -i强制拉取新的身份令牌，不要复用旧缓存凭据重试。
• 检查Microsoft.DataFactory资源提供程序注册状态：执行az provider show --namespace Microsoft.DataFactory确认资源提供程序的注册状态为Registered。资源提供程序未注册时，就算持有对应操作权限，接口校验阶段也会抛出授权类错误，未注册时可执行az provider register --namespace Microsoft.DataFactory等待注册完成后重试。

内容的提问来源于stack exchange，提问作者Niviral