Azure DevOps 管道中的权限问题

最新推荐文章于 2025-12-11 22:46:37 发布

原创最新推荐文章于 2025-12-11 22:46:37 发布 · 823 阅读

8 ·

CC 4.0 BY-SA版权

文章标签：

#typescript #javascript #前端 #个人开发

引言

在使用 Azure DevOps 管道部署 Azure 资源时，权限问题是开发人员经常遇到的挑战之一。本文将通过一个实际案例，探讨如何解决在 Azure DevOps 管道中使用 Azure 资源管理器模板（ARM 模板）部署时遇到的权限问题。

案例背景

假设我们正在使用 Azure DevOps 管道执行一个 ARM 模板部署任务，该任务旨在创建或更新一个资源组，并部署 Azure 数据工厂（Azure Data Factory）。以下是我们使用的 YAML 配置：

- task: AzureResourceManagerTemplateDeployment@3
  inputs:
    deploymentScope: 'Resource Group'
    azureResourceManagerConnection: 'NewAzureConnection'
    subscriptionId: 'xxxxxx-xxxx-xxx-xxxxxxxx03'
    action: 'Create Or Update Resource Group'
    resourceGroupName: '$(ResourceGroupUAT)'
    location: '$(Location)'
    templateLocation: 'Linked artifact'
    csmFile: '$(System.DefaultWorkingDirectory)/adf-xxxxabric-dev/ARMTemplateForFactory.json'
    csmParametersFile: '$(System.DefaultWorkingDirectory)/adf-xxxxxx-dev/ARMTemplateParametersForFactory.json'
    overrideParameters: '-factoryName $(DataFactoryUAT)'
    deploymentMode: 'Incremental'

遇到的问题

在执行上述管道时，我们遇到了以下错误：

##[error]Failed to check the resource group status. Error: {"statusCode":403}

这个错误表明我们的服务主体（Service Principal）在 Azure 中没有足够的权限来执行资源组的操作。

解决步骤

1. 理解错误

错误代码 403 表示“禁止访问”，这意味着当前使用的服务主体没有执行所需操作的权限。

2. 添加权限

项目设置：进入 Azure DevOps 项目的设置，找到服务连接，选择我们使用的服务连接（如 NewAzureConnection），然后管理服务连接角色。
Azure 门户操作：
- 在 Azure 门户中导航到订阅或目标资源组。
- 进入访问控制 (IAM)。
- 点击添加角色分配。
- 选择**参与者（Contributor）**角色，并将服务主体添加到此角色中。