azure-resource-manager - 尝试从不同订阅中的 Keyvault 设置 WebApp 证书时，ResourceGroup 部署失败并出现 'LinkedAuthorizationFailed' 错误

Question

我在尝试执行资源组部署时收到以下错误。

链接授权失败

“具有对象 ID 的客户端”有权在范围/subscriptions/<subscriptionid1>/resourcegroups/<rgname1 上执行操作“Microsoft.Web/certificates/write” >/providers/Microsoft.Web/certificates/certificatename'；但是，它没有权限在链接范围“/subscriptions/<subscriptionid2>/resourceGroups/<rgname2>/providers/Microsoft.KeyVault/vaults/keyvault01”上执行“写入”操作”

ARM 模板正尝试从驻留在不同订阅 中的 Keyvault 获取证书。该模板正在使用服务主体进行部署，并且已获得对 KeyVault 的阅读者权限。

如果我为服务主体在 Keyvault 上设置 contributor 角色或具有“Microsoft.KeyVault/vaults/write”权限的自定义角色，这会很好地工作。我已确保 Microsoft.Azure.WebSites 具有 GET 权限并选中“启用对 Azure 资源管理器的访问以进行模板部署”。

ARM 模板与您在此处看到的类似: https://github.com/Azure/azure-quickstart-templates/tree/master/201-web-app-certificate-from-key-vault

关于“读者”角色为何失败的任何想法。在 Keyvault 上授予写入权限听起来像是分配了比要求更多的权限。

Answer 1

要访问 key 保管库中的 secret 和证书，您需要通过“访问策略”授予权限

https://learn.microsoft.com/en-us/azure/key-vault/key-vault-secure-your-key-vault