使用 CLI 为服务应用创建 Azure 服务主体

Question

我正在尝试创建一个 Azure DevOps 服务端点以连接到 Azure 资源管理器并将我的应用部署到应用服务中。

当我转到 Azure DevOps > 项目属性并使用 UI（自动对话框）创建服务端点时，它工作正常，我的应用程序可以从 yaml 管道部署到应用程序服务，但是，当我尝试通过复制它时Azure CLI 它不起作用（构建失败部署抱怨服务主体）。

这是我的代码：

az_account=$(az account show)
az_subscription_id=$(echo $az_account |jq -r '.id')
az_subscription_name=$(echo $az_account |jq -r '.name')
az_tenant_id=$(echo $az_account |jq -r '.tenantId')
az_service_principal=$(az ad sp create-for-rbac -n "my-app-service-principal")
az_service_principal_password=$(echo $az_service_principal|jq -r '.password')
az_service_principal_id=$(az ad sp list --all | jq -c '.[] | select( .appDisplayName | contains("my-app-service-principal"))'| jq -r '.objectId')
export AZURE_DEVOPS_EXT_AZURE_RM_SERVICE_PRINCIPAL_KEY=$az_service_principal_password
az devops service-endpoint azurerm create --azure-rm-service-principal-id $az_service_principal_id --azure-rm-subscription-id $az_subscription_id --azure-rm-subscription-name $az_subscription_name --azure-rm-tenant-id $az_tenant_id --name my-app-service-endpoint

我应该如何使用 Azure CLI 以编程方式创建此服务端点？

更新了 Azure DevOps 错误：

Answer 1

您的脚本只是创建了服务主体，但它没有向 SP 授予任何权限。 我会添加一些类似这样的行来创建资源组和范围权限

az_service_principal_appid = $(echo $az_service_principal|jq -r '.appId')
az group create --name myrg --location westeurope
az role assignment create --role Contributor --assignee $az_service_principal_appid --resource-group myrg

显然，您需要考虑如何安排资源和 SP：根据您的架构，您可能需要两者中的许多。