Ошибка “InvalidOperationString” в Bicep при создании группы ресурсов через Azure CLI в конвейере

Я получаю следующую ошибку.

{"status":"Failed","error":{"code":"DeploymentFailed","target":"/subscriptions/{subscription_id}/providers/Microsoft.Resources/deployments/assign_role_to_subscription","message":"По крайней мере, одна операция развертывания ресурса завершилась неудачей. Пожалуйста, перечислите операции развертывания для получения подробностей. Для получения информации о использовании смотрите https://aka.ms/arm-deployment-operations.","details":
[{"code":"InvalidOperationString",
"message":"Неверная строка операции {subscription_name} предоставлена в запросе"}]}}

Я запускаю следующий bicep файл:

import * as common from 'exports.bicep'
targetScope="subscription"

//  Параметры
param resourceGroupName string = 'rg-ascend-us'
param resourceGroupLocation string = 'eastus2'
param environmentName string = 'Development'

var peregrineGroupPrincipalId = '{group_principal_id}'
var readerRoleDefinitionId = 'acdd72a7-3385-48ef-bd42-f606fba81ae7'
var subscriptionName="Cosmos Dev"

//  Получить существующую подписку
@description('')
resource subscriptionResource 'Microsoft.Subscription/subscriptionOperations@2017-11-01-preview' existing = {
  scope: tenant()
  name: subscriptionName
}

//  Получить роль Reader.
@description('Это встроенная роль Reader. См. acdd72a7-3385-48ef-bd42-f606fba81ae7')
resource readerRoleDefinition 'Microsoft.Authorization/roleDefinitions@2022-04-01' existing = {
  scope: subscription()
  name: readerRoleDefinitionId
}

//  Назначить группу 'sg-apac-peregrine' подписке и установить роль.
resource roleAssignment 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  scope: subscriptionResource
  name: guid(subscription().id, peregrineGroupPrincipalId, readerRoleDefinition.id)
  properties:{
    roleDefinitionId: readerRoleDefinition.id
    principalId: peregrineGroupPrincipalId
    principalType: 'Group'
  }
}

resource resourceGroup 'Microsoft.Resources/resourceGroups@2024-03-01' = {
  name: resourceGroupName
  location: resourceGroupLocation
  tags: common.getTags(environmentName)
}

Файл bicep выполняется через задачу Azure Devops Pipeline с использованием команды azure CLI.

- task: AzureCLI@2
  inputs:
    azureSubscription: 'Подключение к подписке Azure Cosmos Dev'
    scriptType: bash
    scriptLocation: inlineScript
    useGlobalConfig: false
    inlineScript: |
      az deployment sub create --location eastus2 --template-file $(System.DefaultWorkingDirectory)/.iac/bicep/assign_role_to_subscription.bicep

Команда CLI:

az deployment sub create --location eastus2 --template-file {path_to_bicep_file}

Подключение службы связано с подпиской, в которую я пытаюсь развернуть. Сообщение об ошибке не очень помогает понять, что именно происходит. Буду признателен за любые подсказки.

Основываясь на примере bicep, который вы поделились, я попытался внести некоторые изменения и смог успешно выполнить.

Вот пример:

exports.bicep

@export()
func getTags(environmentName string) object => {
  Product: 'product_name'
  Team: 'team_name'
  ServiceName: 'adapter'
  Environment: environmentName
}

Основной bicep:

import * as common from 'exports.bicep'
targetScope="subscription"

//  Параметры
param resourceGroupName string = 'rg-ascend-us'
param resourceGroupLocation string = 'eastus2'
param environmentName string = 'Development'

var peregrineGroupPrincipalId = '{group_principal_id}'
var readerRoleDefinitionId = 'acdd72a7-3385-48ef-bd42-f606fba81ae7'
var subscriptionName="Cosmos Dev"

//  Получить существующую подписку
@description('')
resource subscriptionResource 'Microsoft.Subscription/subscriptionOperations@2017-11-01-preview' existing = {
  scope: tenant()
  name: subscriptionName
}

//  Получить роль Reader.
@description('Это встроенная роль Reader. См. acdd72a7-3385-48ef-bd42-f606fba81ae7')
resource readerRoleDefinition 'Microsoft.Authorization/roleDefinitions@2022-04-01' existing = {
  scope: subscription()
  name: readerRoleDefinitionId
}

//  Назначить группу 'sg-apac-peregrine' подписке и установить роль.
resource roleAssignment 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  scope: subscriptionResource
  name: guid(subscription().id, peregrineGroupPrincipalId, readerRoleDefinition.id)
  properties:{
    roleDefinitionId: readerRoleDefinition.id
    principalId: peregrineGroupPrincipalId
    principalType: 'Group'
  }
}

resource resourceGroup 'Microsoft.Resources/resourceGroups@2024-03-01' = {
  name: resourceGroupName
  location: resourceGroupLocation
  tags: common.getTags(environmentName)
}

Результат:

Если у вас все еще та же проблема, вы можете перейти в Портал Azure -> Подписки Azure -> Развертывания, чтобы найти подробные журналы.

Для получения более детальной информации вы можете обратиться к этому документу: Развертывания подписки