是否可通过ARM模板部署Azure Synapse工作区角色？

可行性结论 #

完全可以通过ARM模板完成工作区级别的角色分配，不需要单独的工作区专属资源提供程序。

实现逻辑 #

Azure所有资源级别的RBAC角色分配，统一使用Microsoft.Authorization/roleAssignments资源提供程序，只需将该资源的作用域绑定到目标工作区资源即可。

ARM模板示例 #

以下为Log Analytics工作区分配管理员角色的模板片段，可根据你使用的工作区类型（如机器学习工作区等）替换对应资源类型、角色ID即可：

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "workspaceName": {
      "type": "string",
      "metadata": {
        "description": "目标工作区名称"
      }
    },
    "principalId": {
      "type": "string",
      "metadata": {
        "description": "待分配权限的对象ID（用户、服务主体、托管标识的对象ID）"
      }
    },
    "roleDefinitionId": {
      "type": "string",
      "defaultValue": "/subscriptions/<你的订阅ID>/providers/Microsoft.Authorization/roleDefinitions/92aaf0da-9dab-42b6-94a3-dc32c593d688",
      "metadata": {
        "description": "角色定义ID，示例为Log Analytics工作区管理员内置角色ID，可按需替换"
      }
    }
  },
  "resources": [
    {
      "type": "Microsoft.OperationalInsights/workspaces/providers/roleAssignments",
      "apiVersion": "2022-04-01",
      "name": "[concat(parameters('workspaceName'), '/Microsoft.Authorization/', guid(parameters('workspaceName'), parameters('principalId'), parameters('roleDefinitionId')))]",
      "properties": {
        "roleDefinitionId": "[parameters('roleDefinitionId')]",
        "principalId": "[parameters('principalId')]",
        "principalType": "ServicePrincipal" // 按实际主体类型修改为User/Group/ServicePrincipal/ManagedIdentity
      }
    }
  ]
}

注意事项 #

• 如果你使用的是其他类型的工作区，只需替换type字段中工作区对应的资源类型即可，比如Azure机器学习工作区对应Microsoft.MachineLearningServices/workspaces
• 角色分配的name属性必须采用guid格式，通过工作区ID、主体ID、角色ID三个值生成的guid可保证全局唯一，避免冲突
• 部署该模板的账号本身需要具备目标工作区的所有者或用户访问管理员权限，才能完成角色分配操作

内容的提问来源于stack exchange，提问作者gyang