azure - 使用arm模板分配订阅所有者

Question

需要在下面的 Arm 模板中进行哪些更改才能将订阅所有者角色添加到给定的主体 ID？

我们遇到的问题是以下arm模板和调用命令分配了非预期的资源组所有者，而不是所需的订阅所有者。

{
    "$schema": "https://schema.management.azure.com/schemas/2018-05-01/subscriptionDeploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
      "principalId": {
        "type": "string",
        "metadata": {
          "description": "principalId if the user that will be given contributor access to the resourceGroup"
        }
      },
      "roleDefinitionId": {
        "type": "string",
        "defaultValue": "8e3af657-a8ff-443c-a75c-2fe8c4bcb635",
        "metadata": { "description": "roleDefinition for the assignment - default is owner" }
      }
    },
    "variables": {
      "roleAssignmentName": "[guid(subscription().id, parameters('principalId'), parameters('roleDefinitionId'))]"
    },
    "resources": [
      {
        "type": "Microsoft.Authorization/roleAssignments",
        "apiVersion": "2020-08-01-preview",
        "name": "[variables('roleAssignmentName')]",
        "properties": {
          "roleDefinitionId": "[concat('/subscriptions/', subscription().subscriptionId, '/providers/Microsoft.Authorization/roleDefinitions/', '8e3af657-a8ff-443c-a75c-2fe8c4bcb635')]",
          "principalId": "[parameters('principalId')]"
        }
      }
    ]
}

我们运行来调用上述模板的命令是:

az deployment group create --resource-group myRgName --template-file myTemplateName.json --parameters principalId=<service-principal-id>

运行上述 cli 命令的用户帐户是订阅所有者，因此有权分配另一个订阅所有者。

Answer 1

您正在启动的部署是在资源组范围内，而不是在订阅范围内。

有关“az”命令集的更多信息，请参阅文档 over here .

有关角色分配的更多信息，请查看文档 over here (请参阅有关“az 部署子创建”的部分)。

az 部署子创建 --locationcentralus --template-file rbac-test.json --parametersprincipalId=$objectidb​​uiltInRoleType=Reader