我们可以在 ARM 部署脚本中使用 az rest 吗？

如何解决我们可以在 ARM 部署脚本中使用 az rest 吗？

我正在使用 ARM 部署脚本 AzCli。我们可以在 ARM 部署脚本中使用 az rest 吗？ 我收到了 Forbidden({"error":{"code":"Authorization_RequestDenied","message":"Insufficient privileges to complete the operation."

解决方法

我可以在我这边重现您的问题，这意味着您的用户分配身份 (MSI) 没有足够的权限在您的租户中通过 Microsoft Graph 创建 AD 应用程序。

要解决此问题，只需提供 AAD 管理员角色，例如Application administrator 到您的 MSI 的服务主体，请按照以下步骤操作。

1.导航到门户中的 Azure Active Directory -> Roles and administrators -> 点击 Application administrator。

2.点击 Add assignments -> Select member(s) -> 搜索您的 MSI 名称 -> 添加它。

注意：您也可以将 Microsoft Graph 应用程序权限 Application.ReadWrite.All 授予 MSI 而不是 Application administrator，这里就不多说了，如果您有兴趣它，让我知道，我可以发布它。

另外，如果你只是想用Azure CLI创建AD App，其实不需要手动使用az rest，可以使用内置命令az ad app create直接。

测试样本：

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#","contentVersion": "1.0.0.0","parameters": {
    "identity": {
      "type": "string"
    },"utcValue": {
      "type": "string","defaultValue": "[utcNow()]"
    }
  },"resources": [
    {
      "type": "Microsoft.Resources/deploymentScripts","apiVersion": "2020-10-01","name": "runAzureCLI","location": "[resourceGroup().location]","kind": "AzureCLI","identity": {
        "type": "UserAssigned","userAssignedIdentities": {
          "[parameters('identity')]": {
          }
        }
      },"properties": {
        "forceUpdateTag": "[parameters('utcValue')]","AzCliVersion": "2.15.0","timeout": "PT30M","scriptContent": "landingPageApp=$(az rest --method POST --headers \"Content-Type=application/json\" --uri https://graph.microsoft.com/v1.0/applications --body '{\"displayName\": \"LandingpageAppARM\"}')","cleanupPreference": "OnSuccess","retentionInterval": "P1D"
      }
    }
  ]
}