Co oznacza LinkedAuthorizationFailed w PowerShell?

Próbuję dodać reguły sieci wirtualnej w bazie danych kosmosu przy użyciu programu PowerShell. Sieci wirtualne istnieją w różnych dzierżawcach. Zrobiłem to samo dla kont magazynu i działało dobrze. Otrzymuję następujący błąd. Czy ktoś mógłby mi podpowiedzieć, dokąd się mylę? czy można to zrobić w bazie danych cosmos db?

Set-AzureRmResource:: LinkedAuthorizationFailedklient ma uprawnienia do wykonywania akcji „Microsoft.Network/virtualNetworks/subnets/joinViaServiceEndpoint/action„ on scope ”/ subscriptions / Subscription ID of Cosmos DB / resourceGroups / nbspreprd3 / workers / Microsoft.DocumentDb / databaseAccounts / nbspreprd3 -config-document-db ', jednak bieżący dzierżawca „” nie ma uprawnień dostępu do połączonej subskrypcji „”. W linii: 8 char: 5 + Set-AzureRmResource -ResourceType $ ResourceType -ResourceGroupNam ... + ~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ + CategoryInfo: CloseError: (:) [Set-AzureRmResource], ErrorResponseMessageException + FullyQualifiedErrorId: LinkedAuthorizationFailed, Microsoft.Azure.Commands.ResourceManager.Cmdlets.Implementation.SetAzureResourceCmdlet

To jest skrypt programu PowerShell

$ResourceGroupName = "*******"
$accountname = "*******" $ResourceType = "Microsoft.DocumentDb/databaseAccounts" 
$cosmosAccount = Get-AzureRMResource -ResourceType $ResourceType -ResourceGroupName $resourceGroupName -Name $accountName
$VnrID1 = "/subscriptions/*******/resourceGroups/build-agents/providers/Microsoft.Network/virtualNetworks/build-agents-vnet/subnets/build-2-subnet" $VnrID2 = "/subscriptions/*******/resourceGroups/build-agents/providers/Microsoft.Network/virtualNetworks/build-agents-vnet/subnets/build-3-subnet"
$VnrID3 = "/subscriptions/*******/resourceGroups/build-agents/providers/Microsoft.Network/virtualNetworks/build-agents-vnet/subnets/=build1-subnet" function setCosmosRule { Param($ResourceGroupName, $accountname, $ResourceType, $cosmosAccount, $VnrID1)

    $vnetrules = $cosmosAccount.Properties.virtualNetworkRules
$existsCosmos =($cosmosAccount.Properties.virtualNetworkRules | Where-Object {$_.id -eq $VnrID1} | Measure-Object).Count -ne 0
if(-not($existsCosmos)){ $ourObject = New-Object -TypeName psobject 
    $ourObject | Add-Member -MemberType NoteProperty -Name id -Value $VnrID1
    $ourObject | Add-Member -MemberType NoteProperty -Name ignoreMissingVNetServiceEndpoint -Value True $newVnetRules = $vnetrules, $ourObject
    $cosmosAccount.Properties.virtualNetworkRules = $newVnetRules
    $CosmosDBProperties = $cosmosAccount.Properties
    Set-AzureRmResource -ResourceType $ResourceType -ResourceGroupName $ResourceGroupName -ResourceName $accountname -Properties $cosmosDBProperties -Force 
}


}

Wszelkie wskazówki i wskazówki są bardzo mile widziane

Dziękuję Ci

Rozwiązaliśmy podobny problem, przyznając naszą jednostkę usługi wdrażania Network Contributorw ramach subskrypcji zewnętrznej.

Napotkaliśmy ten sam błąd w prawie tym samym scenariuszu podczas wdrażania złożonego szablonu ARM z Key Vault, Service Bus, kontem magazynu i kontem Cosmos DB. Pierwsze trzy wdrożone pomyślnie, a zapory zostały skonfigurowane z oczekiwaną siecią wirtualną / podsieciami z oddzielnej subskrypcji, połączonymi równorzędnie z docelową siecią wirtualną subskrypcji wdrożenia. Wszystko z RBAC w zewnętrznej subskrypcji wyglądało dobrze. Zagłębianie się w dokumentację firmy Microsoft dotyczącą punktów końcowych usług doprowadziło mnie do następujących kwestii:

„Po dodaniu punktów końcowych usługi sieci wirtualnej do konta usługi Azure Cosmos, aby wprowadzić zmiany w ustawieniach konta, potrzebujesz dostępu do akcji Microsoft.Network/virtualNetworks/subnets/joinViaServiceEndpoint/action dla wszystkich sieci wirtualnych skonfigurowanych na koncie usługi Azure Cosmos . To uprawnienie jest wymagane, ponieważ proces autoryzacji weryfikuje dostęp do zasobów (takich jak baza danych i zasoby sieci wirtualnej) przed oceną jakichkolwiek właściwości. "

Źródło: https://docs.microsoft.com/en-us/azure/cosmos-db/vnet-service-endpoint?toc=%2Fazure%2Fvirtual-network%2Ftoc.json#are-additional-rbac-permissions-needed-for-azure-cosmos-accounts-with-vnet-service-endpoints

To naprawdę nie miało sensu, że musieliśmy dodać jawne pozwolenie dla konta Cosmos DB, zwłaszcza, że ​​inne typy zasobów były w porządku. Po dodaniu dodatkowych zasad dostępu konto Cosmos DB zostało pomyślnie wdrożone.