azure - 用户管理标识运行逻辑应用需要哪些权限

Question

我使用事件网格连接以及逻辑应用程序，逻辑应用程序在满足某些条件时触发 Runbook。

作为系统分配的托管身份，一切运行良好。我转向了用户管理身份并且成功了。但是，只有当我将用户管理标识添加为创建逻辑应用的资源组中的贡献者时，它才会成功。

我需要将权限裁剪为实际需要的权限，而不是让此托管身份具有贡献者角色附带的 11k 权限。

如何确定需要为此角色启用哪些权限才能成功触发逻辑应用？

我可以利用跟踪 ID 来获取有关触发器实际失败的更多信息吗？ Trigger History 选项卡下的 Failed 消息没有提供太多信息。

Answer 1

您可能正在寻找的是 Azure Resource Operation Providers 的完整列表.

从那里您可以查找 Azure Logic App并查看可以进行哪些操作。所以很可能你想要 Microsoft.Logic/workflows/triggers/run/action以及其他一些。

从那里，您可以尝试将其映射到现有的 Azure built-in roles (也许Logic App Operator？)或者您甚至可以创建自己的custom role确保完美的最小权限原则。

编辑:如果您选择单租户逻辑应用程序(标准 SKU)，请务必记住 the architecture is running onto Functions runtime ，因此它也可能与该提供者共享一些操作提供者，例如 Microsoft.Web/sites/hostruntime/host/action 。在这种情况下，Website Contributor应该可以解决问题!