Перемещение ресурсов между подписками с помощью AzureDevops

Question

В настоящее время я пытаюсь создать динамическую среду с помощью AzureDevops.

Один из этих шагов для достижения этой цели - взять копию наших производственных баз данных и поместить их в временную группу ресурсов (производственная подписка), а затем переместить сервер sql и связанные базы данных в нашу непроизводственную подписку. Отсюда мы затем создаем веб-приложения и внедряем код.

Когда я запускаю это через Az Cli, я могу переместить ресурсы со следующим

SQLSERVERID=$(az resource show -g $RSGNAMETEMP  -n $SQLSERVERNAME --resource-type "Microsoft.Sql/servers" --query id --output tsv)

az resource move --destination-group $RSGNAME --ids $SQLSERVERID --destination-subscription-id $SANDBOXSUBSCRIPTIONID

Однако, когда я запускаю это через AzureDevops, я получаю следующую ошибку

 ERROR: The client (...) with object id (...)  has permission to perform action  on scope  however, it does not have permission to perform action (...) on the linked scope(s).

Я полагаю, что эта проблема возникает при настройке шага AZ Cli в AzureDevops, вы выбираете подписку из выпадающего списка. Учетная запись / субъект обслуживания имеет права доступа только к этой конкретной подписке, а не ко многим. Можно ли настроить субъект-службу (который можно использовать в AzureDevops), который может подключаться к нескольким подпискам?

Answer 1

Да, просто перейдите на портал Azure, перейдите к нужному блейду подписки, перейдите в Контроль доступа, нажмите + вверху и добавьте своего участника как участника подписки.

, чтобы найти имя участника службы, используйте это:

Нажмите ссылку Управление в поле Подписка Azure в задании VSTS, чтобы перейти к новому блейду. Нажмите «Управление принципалом обслуживания». Вы попадете на страницу приложения в Azure AD. После этого вы можете скопировать имя в поле «Управляемое приложение» в поле локального каталога и использовать это имя для предоставления ему разрешений хранилища ключей.