Azure账号权限是否会影响我创建的Virtual Machine运行？

核心影响范围 #

你作为资源创建者的权限被回收后，不会直接影响VM本身的运行状态，但会影响所有依赖你账号权限触发的资源操作、以及你对资源的可见性：

• 你推测的Automation Task故障是最高概率根因：如果自动开机的Automation Task是用你个人的Azure账号权限创建、或者绑定了你账号的身份凭证（比如服务主体用的是你的账号密钥、Run As账户关联了你的身份），你的co-administrator权限被移除后，该Task调用Azure管理API触发VM开机的请求会直接被权限拦截，导致VM根本不会启动，自然后续cron脚本也不会运行。
• 你无法查看VM状态是直接的权限限制：co-administrator属于订阅级的管理权限，被移除后如果没有给你分配对应VM、资源组或者订阅的其他可读/可管理角色，你在Azure Portal、Azure CLI中都会看不到该VM的资源信息，自然无法确认运行状态。
• 如果你的cron脚本中包含需要调用Azure API的操作（比如操作Blob存储、调用其他Azure服务、上报运行状态等），且脚本里用的是你个人的Azure账号凭证进行身份验证，那么即便VM正常开机，这部分操作也会因为权限不足失败，表现为脚本运行异常。

排查验证步骤 #

你可以找仍有订阅管理权限的同事协助确认以下两点：

1. 检查对应Automation Task的运行历史，看权限被移除后的任务执行记录是否返回AuthorizationFailed类的错误；同时确认Task的运行身份是否关联了你的账号。
2. 给你的账号分配该VM所在资源组的Virtual Machine Contributor或者更低的Reader角色，你就可以正常查看VM的运行状态，也可以手动触发VM开机验证cron脚本的运行逻辑是否正常。

长期修复方案 #

如果要保留自动开关机的逻辑，建议将Automation Task的运行身份换成独立的托管标识，按需分配最小范围的必要权限，避免关联个人账号权限导致的人员变动故障。

内容的提问来源于stack exchange，提问作者Artoo