azure - rbac 角色在 azure 中可以如何嵌套？特别是使用 ADLS GEN2 存储容器的存储帐户？

Question

因此，在 Azure Active Directory 中，当我将组添加到企业应用程序中的“用户和组”时，注意到它发出警告，它仅适用于直接在组中的用户，并且不会像添加组那样级联权限该组有一个组，该组有用户，他们不会获得权限。仅添加的直接组中的用户。

因此，这让我想知道这是否适用于 Azure 存储帐户(如 ADLS GEN2 存储容器)等项目中的 rbac 权限，方法是转到容器 > 访问控制 (IAM) > 角色分配，然后将一个组添加到“存储 Blob”数据贡献者”。然后该组有一堆用户，但也添加了其他组，然后这些组也有用户。我知道直接在该组中的用户将获得权限，但是嵌套在第一个组中的组中的用户也会获得这些权限吗？

不确定这些权限的行为是否与我在企业应用程序中看到的相同，或者它们的行为是否不同(支持嵌套)？当我去添加时，我没有看到任何警告，所以对此不确定。

如果没有人知道，我只需要设置一个没有权限的帐户，然后尝试将其添加到组中，然后尝试从组中删除，然后添加到嵌套组中，然后尝试看看会发生什么。如果有效，请尝试 2​​-4 层深度，看看会发生什么。

Azure Warning when adding a group to "Users and Groups" of an Enterprise Application

Answer 1

是的，正如您看到的通知一样，当您将组分配给应用程序时，只有该组中的用户才有访问权限。该分配不会级联到嵌套组。

基于组的分配需要 azure ad premium P1 或 P2。仅安全组支持基于组的分配，当前不支持嵌套组成员身份和 Microsoft 365 组。

对于 RBAC，角色分配对于组来说是可传递的，这意味着如果用户是某个组的成员，并且该组是具有角色分配的另一个组的成员，则该用户将拥有角色分配中的权限。

Reference