Azure 部署槽 RBAC

Question

我需要为 Azure WebApp 及其部署槽上的不同用户(或组)提供不同级别的访问权限。

1. 如果我仅向用户授予对部署槽的访问权限，他将无法在 Azure 管理门户上看到它。

2. 如果我向用户授予对整个网络应用程序的“读者”访问权限，他可以更改应用程序设置(这是不应该发生的)

3. 如果我向用户授予对整个网络应用程序的“读者”访问权限以及对特定插槽的“所有者”访问权限，他可以更改应用程序设置，并且可以交换 LIVE 应用程序(两者都不应该发生)

有人可以向我解释如何仅向部署槽而不是整个应用程序授予“所有者”权限？谢谢!

Answer 1

我将解决以下 3 个问题

如果我仅授予用户访问部署槽的权限，他将无法在 Azure 管理门户上看到它

这是一个门户错误(它将得到修复)。幸运的是，有一个不太痛苦的解决方法:

• 以所有者身份登录后，转到门户中的插槽。 URL 将如下所示:

https://portal.azure.com/#resource/subscriptions/{sub}/resourceGroups/{ResourceGroup}/providers/Microsoft.Web/sites/{AppName}/slots/{SlotName}


• 复制网址并将其发送给您的用户
• 即使他们无法访问网络应用程序，他们也可以直接进入老虎机。他们甚至可以将其“固定”到仪表板上，以便下次可以轻松找到它，而无需返回链接。

如果我向用户授予对整个网络应用程序的“读者”访问权限，他可以更改应用程序设置

由于另一个 Portal 错误，它看起来只是这样，但实际上不能。例如

• 他们将无法看到任何当前设置
• 如果他们更改了某些内容，则表示保存成功，但实际上什么也没有发生

门户网站团队已意识到这一问题并将予以解决。但从安全角度来看，它是无害的。

如果我向用户授予对整个网络应用程序的“读者”访问权限以及对特定插槽的“所有者”访问权限，他可以交换 LIVE 应用程序

这听起来像是一个错误，我会报告它。好收获!

好消息是，如果您不向他们授予 Web 应用程序的读者访问权限，他们将无法执行此操作。因此，只需使用我在第一个问题中描述的技术，一切都应该适合您的场景