DevOps部署Azure Policy未为托管标识自动分配角色问题咨询

问题结论 #

该角色分配操作既不会由Policy定义自动完成，也不需要你后续手动分配，正确的归属是放在Policy部署流程中，在创建Policy分配的环节同步配置。

详细说明 #

• 你当前的ARM模板仅创建了Microsoft.Authorization/policyDefinitions（Policy定义）资源，模板中roleDefinitionIds字段的作用只是声明该Policy使用DeployIfNotExists效应执行修正任务时需要的权限列表，本身没有自动分配角色的逻辑。
• Policy的托管标识是在你创建Microsoft.Authorization/policyAssignments（Policy分配）资源时才会生成的，Azure平台不会自动为这个托管标识绑定你声明的角色，必须在部署流程中显式配置角色分配资源。

部署流程改造建议 #

你可以在当前ARM模板中新增两类资源，就可以实现自动创建角色分配：

1. 新增Microsoft.Authorization/policyAssignments类型资源，配置时指定启用系统托管标识，同时指定分配的作用范围（比如订阅、指定资源组）
2. 新增Microsoft.Authorization/roleAssignments类型资源，将你用到的Storage Contributor角色（ID：17d1049b-9a84-46fb-8f53-869881c3d3ab）分配给上一步生成的Policy托管标识，注意分配范围要和Policy的作用范围匹配。

注意：执行该部署的账号需要持有目标范围的「所有者」或「用户访问管理员」权限，否则无法完成角色分配操作。

内容的提问来源于stack exchange，提问作者Blue Clouds