Оказывается, что субъект службы, созданный при настройке задачи «Построить неизменяемый образ», настроен в качестве участника только в определенной группе ресурсов, выбранной во время настройки задачи (той, которая содержит учетную запись хранения, используемую задачей).
Предоставление роли участника имени участника службы на уровне подписки устраняет проблему.
Выполняя задачу, мы можем обнаружить, что это происходит потому, что во время выполнения создается новая временная группа ресурсов, и, следовательно, субъекту службы требуются права участника (или некоторый его поднабор) для всей подписки.
Это интересный выбор, так как эта группа ресурсов удаляется в конце задачи.