资源组的 Azure 访问控制

Question

我在公司中有一个订阅，可供团队所有成员(所有员工)共享。我们将此订阅用于测试、开发和生产工作负载。我们只有一项订阅，因为它是我们与 MS 合作伙伴关系的赞助订阅，因此我们不想创建其他订阅。

我想限制对特定资源组的访问，该资源组将托管管理敏感数据的生产资源。由于团队的所有成员都是订阅级别的贡献者，因此他们可以访问所有资源组，并且我无法将他们从资源组中删除。那么，如果我想撤销他们对资源组的访问权限并允许他们使用所有其他资源组，我该如何操作呢？

Answer 1

So how can I proceed if I want to revoke their access to the resource group and allow them to use all other resource groups?

据我所知，唯一的方法是删除订阅级别的用户角色(贡献者)并将其分配到每个资源组(生产资源组除外)。如果用户在订阅级别具有较高的角色(例如贡献者)，则您无法在资源组级别分配较低的角色(例如读者)。

本质上，使用 Azure RBAC，当您在父范围授予访问权限时，这些权限将继承到子范围。

您可以在此处阅读有关 Azure RBAC 的更多信息:https://learn.microsoft.com/en-us/azure/role-based-access-control/overview#how-rbac-works .