如何为Azure DevOps服务连接授予roleAssignments/write权限？

这个错误明确指向你的Azure DevOps服务连接使用的服务主体（就是错误日志里的client '********-****-****-****-************'）没有权限在目标虚拟机规模集的范围内执行角色分配写入操作。下面是一步步的解决方法：

1. 定位服务连接对应的服务主体 #

你有两种方式找到这个服务主体：

• 从Azure DevOps内部查看：打开你的项目，进入项目设置 -> 服务连接，找到你用于部署的Azure资源管理器连接，点击编辑，在详情里就能看到服务主体ID（和错误日志里的client id完全一致）。
• 从Azure门户查找：登录Azure门户，搜索“应用注册”，在搜索框里输入错误日志里的client id，找到对应的应用注册条目——这就是服务连接背后的服务主体。

2. 为服务主体添加角色分配权限 #

接下来给这个服务主体授予创建角色分配的权限，推荐遵循最小权限原则，只给必要的权限：

• 登录Azure门户，导航到你要操作的目标资源范围：可以是整个订阅、staging-rg资源组，或者直接是webscaleset虚拟机规模集（建议选资源组级别，覆盖整个预发布环境的资源）。
• 进入该资源的访问控制(IAM)页面。
• 点击添加 -> 添加角色分配。
• 在角色列表中，选择用户访问管理员角色——这个角色专门用于管理资源的角色分配，刚好满足roleAssignments/write的需求；如果你的流水线需要更多管理权限，也可以选所有者，但优先推荐最小权限的用户访问管理员。
• 切换到成员标签页，选择用户、组或服务主体，点击选择成员，搜索你刚才找到的服务主体的名称或client id，选中后点击选择。
• 最后点击查看+分配完成权限添加。

3. 验证修复效果 #

回到Azure DevOps，重新触发你的部署流水线，这次应该就能成功执行角色分配操作，不会再出现权限错误了。

内容的提问来源于stack exchange，提问作者Vas Sim