为托管标识分配存储账户RBAC角色时遇到授权错误

我最近在尝试给托管标识分配存储账户的RBAC角色时卡壳了，一直报授权错误，先把我的代码和报错信息贴出来，求大佬帮忙看看问题出在哪！

我的代码（C#） #

RoleAssignmentCreateOrUpdateContent roleData = new RoleAssignmentCreateOrUpdateContent(
    roleDefinitionId: new ResourceIdentifier(string.Concat("/subscriptions/", 
    SubscriptionId, "/providers/Microsoft.Authorization/roleDefinitions/", roleId)),
    principalId: (Guid)userIdentity.PrincipalId
)
{
    PrincipalType = RoleManagementPrincipalType.ServicePrincipal
};

ArmOperation<RoleAssignmentResource> roleAssignmentOperation =
roleCollection.CreateOrUpdateAsync(
    WaitUntil.Completed,
    Guid.NewGuid().ToString(),
    roleData
).GetResult();

收到的错误信息 #

ERROR: System.Exception: The client 'xxx' with object id
'xxx' does not have authorization to perform action
'Microsoft.Authorization/roleAssignments/write' over scope '/subscriptions/xxx
/resourceGroups/name/providers/Microsoft.Storage/storageAccounts/name/providers
/Microsoft.Authorization/roleAssignments/xxx' or ...

其实这个错误的意思非常直白，我后来仔细捋了下才反应过来：不是你要分配权限的那个托管标识没权限，而是正在运行这段代码的身份（比如你本地的开发账号、或者运行代码的服务主体/托管标识）没有权限在这个存储账户的范围内创建角色分配。

给你几个解决方向：

• 先搞清楚当前执行代码的身份是谁：如果是本地调试，那就是你自己的Azure AD用户账号；如果是部署在Azure上的服务，那就是服务所用的托管标识/服务主体。
• 给这个执行代码的身份加权限：需要在存储账户本身或者它所在的资源组层级，分配「角色分配管理员」（Role Assignment Administrator）角色——这个角色专门管角色分配的写入操作，刚好匹配我们需要的Microsoft.Authorization/roleAssignments/write权限。当然你也可以给Owner，但尽量遵循最小权限原则，能用更细的权限就别给全权限。
• 权限加完别着急重试：Azure的RBAC权限有时候需要2-3分钟才能同步到所有节点，刚加完就重试大概率还是会报错，等一会儿再试就好。

另外还有个小坑要注意：别把权限加错了对象！很多人会不小心把权限给了要被分配角色的那个托管标识，而不是执行代码的身份，这肯定没用，一定要搞清楚两者的区别。

备注：内容来源于stack exchange，提问作者ranger