Azure所有者角色无法创建资源组

Question

我在Employer的Azure订阅中被分配了一个所有者角色。他能够创建资源组，但我不能。我们都想知道为什么因为我已经被指定为所有者，除了订阅级别之外，它是最高的角色。

当我尝试az group create --name myGroup -l southeastasia命令时，它的响应是

The client 'live.com#<myAccount>@outlook.com' with object id '<object ID>'
does not have authorization to perform action 'Microsoft.Resources/subscriptions/
resourcegroups/write' over scope '/subscriptions/<subscription>/resourcegroups/<myGroup>'.

编辑：我没有订阅级资源

Answer 1

您的租户中有多个订阅吗？如果是，你应该设置它。

##list subscription
az account list --output table

##change the active subscription
az account set --subscription "My Demos"

如果您只有订阅，我建议您创建一个sp，然后使用sp创建一个新的资源组。请参阅此link。

更新

您应该在订阅级别上提供Owner角色，根据您的屏幕截图，您在资源组角色上授予Owner角色，您只在资源组中创建资源。您也无法创建新资源组。您应该为订阅授予Owner个角色，如下所示：

Answer 2

注意：此问题更有可能发生在较新的订阅中，如果在该订阅之前从未创建过某种资源类型，则通常会发生这种情况。

订阅管理员通常通过在订阅级别授予资源组所有者贡献者权限来解决此问题，这与他们将访问权限分离到资源组级别而非订阅级别的策略相矛盾。

有关根本原因和快速解决方案，请参阅“Common problem when using Azure resource groups & RBAC"。

Answer 3

嗯，错误明确表示你没有对范围的权利，所以你要么是错误子的所有者，要么你有一个特别限制它的角色。