托管身份Azure角色分配？

Question

我试图通过ARM模板将Service Bus Receiver角色添加到用户分配的托管标识中。

i、 e.这一作用。https://docs.microsoft.com/en-us/azure/role-based-access-control/built-in-roles#azure-服务总线数据接收器

这是模板

    // User Assigned Managed Identity

    {
        "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
        "apiVersion": "2018-11-30",
        "name": "MyManagedIdentity",
        "location": "[resourceGroup().location]",
    },

    // User Assigned Managed Identity Role

    {
        "type": "Microsoft.Authorization/roleAssignments",
        "apiVersion": "2020-04-01-preview",
        "name": "[guid(resourceGroup().id)]",
        "dependsOn": [
            "[resourceID('Microsoft.ManagedIdentity/userAssignedIdentities/','MyManagedIdentity')]"
        ],
        "properties": {
            "roleDefinitionId": "/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/roleDefinitions/090c5cfd-751d-490a-894a-3ce6f1109419",
            "principalId": "[reference(resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', 'MyManagedIdentity'), '2018-11-30').principalId]",
        }
    },

它返回这个错误。

状态消息：不允许更新租户ID、应用程序ID、主体ID和作用域。（代码：角色分配更新不允许）

我不确定出了什么问题。

我看过这个快速入门。https://docs.microsoft.com/en-us/azure/role-based-access-control/quickstart-role-assignments-template

principalId应该来自我认为的管理身份。以及服务总线角色id中的roleDefinitionId。

Answer 1

您面临的问题是，当您首次部署ARM模板时，最近创建的标识尚未完全复制，因此您可能会注意到安全主体（用户、组、服务主体或托管标识）被列为标识而不是使用未知类型找到。

当您试图通过重新部署模板来更新相同的角色分配时，会出现错误“不允许更新租户ID、应用程序ID、主体ID和范围”，因为具有相同ID的角色分配已经存在，并且不允许更新。

更好的选择是，首先使用单独的模板创建标识，然后创建角色分配。对于Azure Service Bus数据接收器，模板中的ID应为：

/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/roleDefinitions/4f6d3b9b-027b-4f4c-9142-0e5a2a2247e0

有关详细信息，请参阅本文档。