azure - 我可以通过ARM模板申请权限吗？

Question

在 Azure 中，如果我想通过 RBAC 授予资源组读取访问权限，可以通过 ARM 模板来实现吗？我知道可以通过 VSTS 构建步骤或 PS 脚本来实现，但是有没有办法通过 ARM 模板授予权限？

Answer 1

不，这是不可能的，因为应用权限的 REST 调用如下所示:

/subscriptions/xxx/providers/Microsoft.Authorization/roleDefinitions/xxx

您还无法使用 ARM 模板复制订阅“级别”休息调用。

好吧，与我所知道的一切相反，这有效:

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {},
    "resources": [
        {
            "type": "Microsoft.Authorization/roleAssignments",
            "name": "8446a13c-6886-46e2-a17f-9df73adb334e",
            "apiVersion": "2017-10-01-preview",
            "location": "[resourceGroup().location]",
            "properties": {
                "roleDefinitionId": "[concat(subscription().Id, '/providers/Microsoft.Authorization/roleDefinitions/b24988ac-6180-42a0-ab88-20f7382dd24c')]",
                "principalId": "user_guid_goes_here",
                "scope": "[resourceGroup().Id]"
            }
        }
    ]
}

这会将贡献者角色分配给已向您部署模板的资源组提供 guid (principalId) 的用户。要分配其他角色，请获取其 GUID 并替换贡献者 GUID(b24988ac-6180-42a0-ab88-20f7382dd24c - 众所周知的 GUID)。您还可以为特定资源分配权限。使用 scope 来执行此操作(将其更改为 resourceId)。 Name 必须是新的 guid。

我不知道为什么会这样，当我知道为什么会这样时我会回复你。