Как я могу предоставить разрешение roleAssignement/запись для подключения службы azure devops

самый простой способ - назначить роль владельца субъекту-службе, вы можете найти его на странице подключения службы, на ней есть ссылка «управление субъектом-службой» или что-то в этом роде.

В качестве альтернативы вы можете создать пользовательскую роль, которая может делать только это, и назначить субъекту-службе немного более безопасный, но не настолько, поскольку с этой ролью вы можете предоставлять любые разрешения кому угодно.

Powershell для создания пользовательской роли:

$role = Get-AzRoleDefinition "Virtual Machine Contributor"
$role.Id = $null
$role.Name = "Assign permissions role"
$role.Description = "Allow to assign permissions"
$role.Actions.Clear()
$role.Actions.Add("Microsoft.Authorization/roleAssignments/write")
$role.AssignableScopes.Clear()

Get-AzSubscription | ForEach-Object {
    $scope = "/subscriptions/{0}" -f $_.Id
    $role.AssignableScopes.Add($scope)
}
$def = New-AzRoleDefinition -Role $role

Предоставить роль ниже принципу обслуживания devops

Имя: Администратор привилегированной роли Описание: пользователи с этой ролью могут управлять назначениями ролей в Azure Active Directory, а также в Azure AD Privileged Identity Management. Кроме того, эта роль позволяет управлять всеми аспектами управления привилегированными пользователями.