Azure DevOps 流水线部署报错：创建Azure资源组无授权怎么解决？

该报错本质是Azure DevOps流水线关联的Azure服务主体，缺少目标Azure订阅下的资源组写入权限，无法完成资源组创建操作，对应错误信息：

The client id XXXXX with object id XXXXX does not have authorization to perform action 'Microsoft.Resources/subscriptions/resourcegroups/write' over scope or the scope is invalid

• 确认服务主体身份：在Azure门户的Azure Active Directory→应用注册中，搜索报错信息里的object id XXXXX或client id XXXXX，确认该实体为Azure DevOps流水线所用服务连接对应的服务主体。
• 分配对应权限：进入目标Azure订阅的「访问控制(IAM)」页面，点击「添加角色分配」，按需选择权限方案：
  • 最小权限方案：创建包含Microsoft.Resources/subscriptions/resourcegroups/write操作的自定义角色，范围选择当前订阅，将服务主体添加为被分配对象
  • 通用方案：直接选择内置的「参与者」角色，范围选择当前订阅，将服务主体添加为被分配对象
• 验证生效：权限分配完成后等待2~5分钟同步，重新运行Azure DevOps流水线即可正常执行资源组创建操作。
• 异常排查：若分配权限后仍报错，需检查当前Azure订阅状态是否正常（未欠费、未被禁用），确认权限分配的范围为流水线要创建资源组的目标订阅，无范围层级错误。

内容的提问来源于stack exchange，提问作者Kanna