Azure 权限 - 创建资源组所需 - RBAC

Question

我已将所有者角色分配给资源组。我无法创建新的资源组。

为了创建资源组，我是否需要所有者/贡献者角色来订阅？

当为用户分配所有者和读者角色时，哪个角色控制用户访问权限？

Answer 1

OP 请求创建新资源组所需的 RBAC 权限。 @jason-ye 建议订阅所有者角色。这超出了必要的权限，因此对于生产或相关环境来说不是一个好的答案。

每Built-in roles for Azure resources订阅上的贡献者角色足以创建所有资源，包括资源组。以下是贡献者角色的权限分配，“*”表示一切，有些事情被明确拒绝:

Actions  
*
NotActions  
Microsoft.Authorization/*/Delete 
Microsoft.Authorization/*/Write 
Microsoft.Authorization/elevateAccess/Action 
Microsoft.Blueprint/blueprintAssignments/write 
Microsoft.Blueprint/blueprintAssignments/delete 

我想要一种方法来授予“创建新资源组”而不向现有资源授予“*”。

更新:基于Azure built-in [RBAC] roles ，没有其他内置角色提供创建(或写入)资源组所需的权限。

但是，现在 Azure 支持 custom RBAC roles ，您可以使用 Microsoft.Resources resource provider operation 创建自定义角色

Microsoft.Resources/subscriptions/resourceGroups/write 

这将提供最少的权限来实现所需的结果。