Azure策略分配托管标识无资源修正权限问题咨询

• 需求为基于策略计划（policy initiative）创建策略分配并执行资源修正，最初通过以下PowerShell命令可成功创建策略分配：

$newRgAssignment = New-AzPolicyAssignment -Name $assigName -PolicySetDefinition $policySet -PolicyParameterObject $Params -AssignIdentity -Location 'westus' -scope $rgscope -DisplayName $assigName

• 策略分配创建完成后，在Azure门户手动执行修正操作时抛出如下报错：

The managed identity for this assignment does not have the appropriate permissions to remediate these resources. To add these permissions, go to the Edit Assignment page for this Policy and re-save it.

• 已尝试传入SystemAssigned（系统分配）标识类型创建策略分配，仍出现相同报错。后续尝试使用UserAssigned（用户分配）标识类型方案，执行以下命令获取用户标识，但问题仍未解决：

Set-AzContext -Subscription 'XYZ-123-ABC'
$UserAssignedIdentity = Get-AzUserAssignedIdentity

报错和托管标识类型选择无直接关联，核心原因是：
使用PowerShell命令创建带托管标识的策略分配时，命令不会自动为关联的托管标识授予目标作用域下资源修正所需的RBAC权限。Azure门户编辑后重新保存之所以能解决问题，是因为门户流程会自动为托管标识补全所需的角色绑定，这一步在PowerShell创建流程中需要手动完成。
之前尝试用户分配标识方案时存在两个操作缺失：一是创建策略分配时未正确将指定用户标识关联到策略分配，二是未给标识授予对应作用域的操作权限，仅拉取订阅下用户标识列表无法解决权限问题。

方案1：使用系统分配托管标识（操作更简便） #

1. 保留原本带-AssignIdentity参数的创建命令，创建完成后，返回结果中$newRgAssignment.Identity.PrincipalId就是系统分配标识的主体ID。
2. 执行以下命令为该标识授予目标作用域的修正权限，除通用的Resource Policy Contributor（资源策略参与者）角色外，需根据策略集内的具体策略要求补充对应角色（例如修改标签需授予Tag Contributor、修改存储配置需授予Storage Account Contributor）：

# 授予资源策略参与者基础权限
New-AzRoleAssignment `
  -ObjectId $newRgAssignment.Identity.PrincipalId `
  -RoleDefinitionName "Resource Policy Contributor" `
  -Scope $rgscope

# 示例：如需修改资源标签，追加标签参与者权限
# New-AzRoleAssignment -ObjectId $newRgAssignment.Identity.PrincipalId -RoleDefinitionName "Tag Contributor" -Scope $rgscope

方案2：使用用户分配托管标识 #

1. 不要直接拉取订阅下全量用户标识，需明确指定提前创建好的、用于策略修正的用户标识：

Set-AzContext -Subscription 'XYZ-123-ABC'
# 将参数替换为实际的用户标识名称、所在资源组名
$UserAssignedIdentity = Get-AzUserAssignedIdentity -Name "policy-remediate-uai" -ResourceGroupName "common-identity-rg"

2. 创建策略分配时，明确指定标识类型为UserAssigned，关联获取到的用户标识，不要使用默认触发系统分配标识的-AssignIdentity参数：

$newRgAssignment = New-AzPolicyAssignment `
  -Name $assigName `
  -PolicySetDefinition $policySet `
  -PolicyParameterObject $Params `
  -IdentityType "UserAssigned" `
  -IdentityId $UserAssignedIdentity.Id `
  -Location 'westus' `
  -Scope $rgscope `
  -DisplayName $assigName

3. 为用户分配标识授予目标作用域的修正权限，逻辑和系统分配标识一致：

New-AzRoleAssignment `
  -ObjectId $UserAssignedIdentity.PrincipalId `
  -RoleDefinitionName "Resource Policy Contributor" `
  -Scope $rgscope
# 按需追加其他策略修正所需角色

权限配置完成后等待5-10分钟让RBAC权限全局生效，再触发修正任务即可正常执行，无需反复进入门户编辑保存策略分配。

内容的提问来源于stack exchange，提问作者user6264