部署ARM模板报InsufficientPrivilegesForManagedServiceResource权限错误

报错核心原因 #

触发InsufficientPrivilegesForManagedServiceResource错误的根因是执行部署的账号缺失Azure授权相关操作权限，和你之前补充的ManagedServices、托管标识、部署脚本类权限无关。
Azure Lighthouse的注册逻辑本质是在被接入的目标订阅中，为管理租户的指定主体创建对应的角色分配，这个操作要求执行部署的身份必须拥有角色分配的写入权限，你之前配置的自定义角色完全没有包含Microsoft.Authorization命名空间下的相关权限，所以校验直接失败。

缺失的具体权限 #

你需要给执行部署所用的自定义角色补充以下操作权限：

"Microsoft.Authorization/roleAssignments/write",
"Microsoft.Authorization/roleAssignments/read",
"Microsoft.Authorization/roleDefinitions/read"

如果后续你需要在Lighthouse模板中使用自定义角色而非内置角色，再额外补充Microsoft.Authorization/roleDefinitions/write权限即可，你当前模板用的都是现成内置角色，加上面三个权限就能通过Lighthouse的权限校验。

额外需要修正的问题 #

• 你当前的ARM模板中资源组（Microsoft.Resources/resourceGroups）资源的dependsOn块存在参数错误：第二个依赖项是Microsoft.ManagedServices/registrationAssignments资源，但传入的参数是variables('mspRegistrationName')，应该改为variables('mspAssignmentName')，否则权限问题修复后会触发资源依赖查找失败的错误。
• 不建议在同一个订阅级部署中同时混合部署Lighthouse跨租户资源、资源组、嵌套部署脚本三类资源，Lighthouse资源的部署校验逻辑和普通Azure资源不同，混部容易触发非预期的校验错误，建议拆分成分开的部署动作：先部署Lighthouse注册定义和分配，验证接入成功后再部署资源组和后续的回调脚本。

补充说明 #

你之前补充的Microsoft.ManagedIdentity/*相关权限是部署脚本运行所需的，和Lighthouse的权限校验逻辑没有关系，不需要因为这个报错调整这部分权限配置。

内容的提问来源于stack exchange，提问作者xaos_xv