时间戳

首页 > 解决方案 > Azure 策略定义权限错误：授权失败

azure - Azure 策略定义权限错误：授权失败

问题描述

我正在使用此 azure 模板（azure 的官方 github 存储库）定义自定义 azure 策略。作为参数，我只是在参数中传递日志分析工作区名称。下面的 powershell 代码（取自 azure repo）用于此目的，我刚刚添加到第二个命令中，因为这是必要的。作为角色定义，我在模板内赋予所有者订阅权限。-AssignIdentity

$definition = New-AzPolicyDefinition -Name "deploy-oms-vm-extension-windows-vm" -DisplayName "Deploy default Log Analytics VM Extension for Windows VMs." -description "This policy deploys the Log Analytics VM Extensions on Windows VMs, and connects to the selected Log Analytics workspace." -Policy 'https://raw.githubusercontent.com/Azure/azure-policy/master/samples/Compute/deploy-oms-vm-extension-windows-vm/azurepolicy.rules.json' -Parameter 'https://raw.githubusercontent.com/Azure/azure-policy/master/samples/Compute/deploy-oms-vm-extension-windows-vm/azurepolicy.parameters.json' -Mode Indexed 
$definition
$assignment = New-AzPolicyAssignment -Name <assignmentname> -Scope <scope> -logAnalytics <logAnalytics> -PolicyDefinition $definition -AssignIdentity
$assignment

策略已正确创建。但是当我尝试创建修复任务时，任务失败并且我收到以下错误：

详细信息 代码 AuthorizationFailed 消息 对象 id 为“xxxx-xxx-xxxx-xxxx-xxxx”的客户端“xxxx-xxx-xxxx-xxxx-xxxx”无权执行“Microsoft.Resources/deployments/validate/action”操作范围 '/subscriptions/xxxx-xxx-xxxx-xxxx-xxxx/resourcegroups/rg-test/providers/Microsoft.Resources/deployments/PolicyDeployment_17825756917269472742' 或范围无效。如果最近授予访问权限，请刷新您的凭据。

在门户网站上，我看到策略定义具有我定义的所有者权限。 在此处输入图像描述 但我也在政策补救页面上看到了这一点： 在此处输入图像描述

我不明白这个错误的原因。有人有什么想法吗？

标签： azureazure-managed-identityazure-policy

解决方案

根据一些测试，这可能是您的帐户权限引起的。我认为这与您的政策定义的角色没有任何关系。

显示相同错误消息的一种情况是使用错误的订阅或错误的资源组进行操作，但我认为选择错误订阅或资源组的可能性非常低，因为您是在门户网站上进行的。

显示此错误消息的另一种情况是我在我身边测试的。我用一个帐户测试没有被分配一个具有足够权限的角色，它显示相同的错误消息。因此，请检查您的帐户角色并分配具有更高权限的角色，然后创建修复任务。

推荐阅读