(AuthorizationFailed) Ошибка при попытке обновить образ containerApp из Azure Devops

Я использую конвейер devops для обновления containerApp. Конвейер devops использует собственный пул агентов, который использует агент VMSS. в задаче конвейера cli я создаю назначенное системой управляемое удостоверение для containerApp с помощью команд az cli, а на следующем шаге я пытаюсь назначить роль извлечения ACR реестра для containerApp в частном ACR, используя команду ниже

az role assignment create \
          --assignee-object-id $PRINCIPALID \
          --assignee-principal-type ServicePrincipal \  
          --role AcrPull \
          --scope /subscriptions/$(SUBSCRIPTION)/resourceGroups/$(RG_NAME)/providers/Microsoft.ContainerRegistry/registries/$(acrContainerName)

получение этой ошибки в консоли devops:

(AuthorizationFailed) The client '3447a78f-2d20-4a27-abcd-4050272e5946' with object id '3447a78f-2d20-4a27-abcd-4050272e5946' does not have authorization or an ABAC condition not fulfilled to perform action 'Microsoft.Authorization/roleAssignments/write' over scope '/subscriptions/12d3e9402-cddbf-4272-83b5-c479199032d6/resourceGroups/my-infra-rg/providers/Microsoft.ContainerRegistry/registries/abccacrxqkglrt4qana4/providers/Microsoft.Authorization/roleAssignments/7722b8ef0-9418-4093-z230-152e422cc29d' or the scope is invalid

Я могу выполнить эту задачу через свою локальную командную строку, а также у меня есть права администратора доступа пользователя к подписке. Задача файла yaml выглядит следующим образом:

 - task: AzureCLI@2
      inputs:
        azureSubscription: $(armDeploymentServiceConnection)
        scriptType: 'bash'
        scriptLocation: 'inlineScript'

AzureSubscription содержит сервисное соединение ARM, которое я создал в DevOps для подключения к ARM.

Если я ищу идентификатор клиента, показанный в ошибке консоли devops, на портале Azure он не существует, это результат Кто-нибудь может здесь помочь? Спасибо