我只能确认这个案例是开放的Azure支持，但到目前为止，这个问题还没有解决。托管资源组中的拒绝分配明确指出，写操作只允许管理员主体-其余的是硬阻止的。
目前我认为RBAC在托管应用程序中是不受支持的，在我们的项目中，我们采用了连接字符串等。

适用于我们的流程：

• 创建用户分配的受管身份作为解决方案的一部分。
• 为其分配托管资源组的所有者角色（请参见下文）。
• 为您的应用服务和资源分配相同的标识。

棘手的部分是分配初始角色。角色分配固有地在发布者租户中查找将被分配角色的对象。这就是为什么在这个上下文中tenant（）.tenantId bicep func返回发布者租户，subscription（）.tenantId返回客户租户（这是部署的作用域）。
要让部署查找用户分配的标识所在的客户租户，您必须使用delegatedManagedIdentityResourceId属性。但是，当部署到自己的租户时（例如，出于测试目的），您不能使用该属性。因此，最好确定您是在自己的租户上部署还是在跨租户场景中，并使用条件。
下面是二头肌的例子：

//however you determine this is fine, but this is an easy way to know if it's being deployed to a different tenant
var crossTenant = tenant().tenantId != subscription().tenantId 
var managedIdentityName = 'whatever-identity-name'

@description('A user assigned managed identity to own the managed resource group and be used by resources within it')
resource managedIdentity 'Microsoft.ManagedIdentity/userAssignedIdentities@2018-11-30' = {
  name: 'whatever-identity-name'
  location: 'eastus'
}

@description('This is the built-in Owner role. See https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles#owner')
resource ownerRoleDefinition 'Microsoft.Authorization/roleDefinitions@2018-01-01-preview' existing = {
  name: '8e3af657-a8ff-443c-a75c-2fe8c4bcb635'
}

resource ownerRoleAssignment 'Microsoft.Authorization/roleAssignments@2020-04-01-preview' =  {
  name: guid(subscription().id, managedIdentityName, ownerRoleDefinition.id)
  scope: resourceGroup()
  properties: {
    principalId: managedIdentity.properties.principalId
    roleDefinitionId: ownerRoleDefinition.id
    principalType: 'ServicePrincipal'
    delegatedManagedIdentityResourceId: crossTenant ? managedIdentity.id : null
  }
}