如何通过ARM模板获取订阅级资源或设置订阅级权限？RBAC配置无效求助

我来帮你梳理下订阅级ARM模板的操作要点，尤其是你遇到的RBAC权限不生效的问题～

一、通过ARM模板获取订阅级资源 #

订阅级ARM模板不需要指定resourceGroup，直接在订阅范围部署。要获取订阅级资源（比如角色定义、策略定义、资源组等），可以用以下方式：

• 引用固定的订阅级资源：比如你代码里用concat(subscription().id, '/providers/Microsoft.Authorization/roleDefinitions/8e3af657-a8ff-443c-a75c-2fe8c4bcb635')获取订阅下的参与者角色ID，这个写法是正确的。
• 动态列出订阅级资源：可以用listSubscriptionResources函数，比如在模板输出中列出订阅下所有资源组：

  "outputs": {
      "allResourceGroups": {
          "type": "array",
          "value": "[listSubscriptionResources('Microsoft.Resources/resourceGroups', '2021-04-01')]"
      }
  }
  

二、订阅级RBAC权限设置的问题排查与正确写法 #

你之前的RBAC模板没生效，核心问题出在角色分配的名称设置错误，另外还有几个细节需要注意：

问题分析 #

角色分配的name字段必须是唯一的GUID，而不是角色名称（比如Contributor）。因为同一个角色可以被分配给多个主体，或者同一个主体被分配多次，每次分配都需要一个唯一标识，用角色名会导致冲突或部署失败。

修正后的完整模板 #

{
    "$schema": "https://schema.management.azure.com/schemas/2018-05-01/subscriptionDeploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "principalId": {
            "type": "string",
            "metadata": {
                "description": "要分配权限的主体ID（用户/组/服务主体）"
            }
        },
        "roleAssignmentName": {
            "type": "string",
            "defaultValue": "[guid(subscription().id, parameters('principalId'), '8e3af657-a8ff-443c-a75c-2fe8c4bcb635')]",
            "metadata": {
                "description": "角色分配的唯一GUID，默认基于订阅ID、主体ID和角色ID自动生成"
            }
        }
    },
    "variables": {
        "authAPIVersion": "2022-04-01",
        "contributorRoleId": "[concat(subscription().id, '/providers/Microsoft.Authorization/roleDefinitions/8e3af657-a8ff-443c-a75c-2fe8c4bcb635')]"
    },
    "resources": [
        {
            "type": "Microsoft.Authorization/roleAssignments",
            "name": "[parameters('roleAssignmentName')]",
            "apiVersion": "[variables('authAPIVersion')]",
            "properties": {
                "roleDefinitionId": "[variables('contributorRoleId')]",
                "principalId": "[parameters('principalId')]"
            }
        }
    ]
}

关键注意事项 #

• 部署范围必须是订阅级：部署模板时要选择订阅作为目标范围，比如用Azure CLI命令：

  az deployment sub create --name MySubDeployment --template-file ./subscription-rbac.json --parameters principalId=xxx-xxx-xxx
  

  或者在Azure门户部署时，选择“订阅”作为部署范围，而不是资源组。
• 执行部署的账号权限：你用来部署的账号需要拥有Microsoft.Authorization/roleAssignments/write权限（比如订阅的所有者、用户访问管理员角色），否则会因权限不足部署失败。
• apiVersion选择：尽量使用较新的apiVersion（比如2022-04-01），避免旧版本的兼容性问题。

内容的提问来源于stack exchange，提问作者Manish