我正在使用 Octopus Deploy 部署 Azure WebApp，使用服务主体作为身份验证机制。按照在线说明，我能够获取所有 id 和一个密钥，并在 AAD 中为具有 Reader 角色的应用程序创建了权限。
Octopus 可以成功地从 Azure 为该帐户检索 webapps 列表，但是当我部署时，我得到以下信息：
System.AggregateException：发生一个或多个错误。 ---> System.Exception：使用 HTTP 检索发布凭据失败 状态 403 - 禁止
我猜测 Reader 角色未获得部署授权 - 哪个角色最合适？或者我还有什么需要做的吗？
【问题讨论】：
标签： azure azure-web-app-service octopus-deploy
如果你只使用 Service Principal 来部署 web 应用，你可以给它Website Contributor 角色。
网站贡献者 可以管理网站，但网络计划不能 它们是连接的
网站贡献者可以访问的操作请参阅此link。
如果你想让服务主体创建应用服务计划，你还需要给它Web Plan Contributor角色。
Owner和Contributor可以管理一切，如果需要微调权限，建议选择Website Contributor角色。更多信息请参考此链接：Built-in roles for Azure role-based access control。
【讨论】：
Website Contributor 就足够了。此外，您可以为您的服务主体提供Contributor 和Owner 角色。
Contributor，因为我不希望出现奇怪和奇妙的问题，我认为 Octopus Deploy 是一个值得信赖的平台。自从我更改为 Contributor 后，我不再遇到问题了。
您的服务主体需要 Contributor 角色才能在 Azure 上进行部署。
如果您查看我们在 our Azure Service Principal Account guide 中提供的示例 PowerShell 脚本，您会看到我们为角色定义参数分配了“贡献者”。
即。
New-AzureRmRoleAssignment -RoleDefinitionName Contributor -ServicePrincipalName $azureAdApplication.ApplicationId
希望这会有所帮助。
【讨论】：