Azure托管应用部署scheduledQueryRules报403 BadGateway如何解决

• 同模板非托管模式部署全量成功，可排除模板语法、资源配置逻辑错误
• 同托管应用场景下替换为Microsoft.Insights/metricAlerts类型指标告警可正常部署，可排除托管应用整体RBAC委托配置的基础权限缺陷
• 报错链路定位为Microsoft.Insights/scheduledQueryRules/write操作直接返回403，该原始403被托管应用网关层包装为BadGateway对外抛出

1. 权限边界校验 #

托管应用部署使用委托的服务主体执行所有资源操作，与非托管部署使用当前登录用户权限的逻辑有本质区别，需要逐一对scheduledQueryRules的强依赖资源做权限校验：

• 确认委托服务主体对模板参数sourceId指向的Log Analytics工作区，至少拥有Log Analytics Reader及以上权限。Microsoft.Insights/scheduledQueryRules资源在创建时会独立发起数据源访问校验，该校验逻辑不受托管应用资源组内的权限继承规则覆盖
• 确认委托服务主体对模板参数actionGroupId指向的操作组资源，至少拥有Monitoring Reader权限。创建告警规则时需要读取操作组配置完成关联，无对应权限时会直接触发403拦截
• 常见踩坑场景：托管应用的权限配置仅覆盖托管资源组范围内的资源，未对组外的共享Log Analytics工作区、共享操作组授予访问权限，非托管部署时因为使用的是订阅级高权限账号，不会暴露该问题。

2. API版本适配校验 #

• 当前模板使用的Microsoft.Insights/scheduledQueryRules apiVersion为2018-04-16，该版本属于早期上线的日志告警API，内部硬编码了请求源校验规则，会直接拒绝来自Azure托管应用管理面的委托请求，返回403
• 该适配问题在2021-08-01及后续apiVersion中已完成修复，新版API移除了对托管应用请求源的拦截逻辑。

3. 配置字段类型校验 #

• 当前模板中enabled字段赋值为字符串类型"true"，不符合API要求的布尔值类型，部分老版本API在收到类型不匹配的请求时，不会返回参数校验类错误，而是直接抛出403
• 检查metricTrigger配置中的metricColumn字段是否与日志查询返回的列名完全匹配，字段不匹配时老版本API也会直接返回403。

• 权限修正：在托管应用的授权定义中，为委托服务主体补充两类角色分配：
  • 对关联Log Analytics工作区的Log Analytics Contributor角色
  • 对关联操作组资源的Monitoring Contributor角色
• 版本升级：将scheduledQueryRules的apiVersion从2018-04-16更新为2021-08-01，并按照新版API的属性结构调整模板字段映射，绕开老版本的请求源拦截逻辑
• 拆分部署链路：如果暂时无法调整全局权限配置，可将scheduledQueryRules资源的创建逻辑从托管应用主模板中拆分，待托管应用完成基础资源部署后，由应用自身的系统托管标识调用新版API创建告警规则。

内容的提问来源于stack exchange，提问作者michel