azure - Azure中如何分离开发和生产环境？

Question

我的公司处理敏感数据，需要限制对生产环境的访问。如何组织订阅和(存储)帐户以便拥有单独的环境？

我可以拥有完全不同的订阅，但我想赋予一些开发人员在生产环境中部署的能力，而其他开发人员只能访问开发 Assets 。

在我的理想世界中，我会将个人添加到安全组中。每当 thw 开发人员想要在生产环境中部署时，他/她都会使用他/她的凭据以及额外的确认步骤，例如 otp。这样我就可以避免错误，但仍然保持简单的用户管理。在 azure 中这可能吗？

Answer 1

最终你想做的事情将成为可能，并且在某种程度上是可能的，具体取决于资源。随着 Azure 的更多功能进入预览门户 (portal.azure.com)，它们将显示为 Role Based Access Controls ，这就是您正在寻找的。不幸的是，目前并非所有资源都在那里，有些资源还没有内置完整的 RBAC(例如存储帐户)。

目前，最好的选择仍然是通过订阅来分开。如果您需要开发人员能够执行部署，您可以创建一个执行部署的脚本(使用存储的 PowerShell 凭据或安全管理证书)，然后让开发人员能够执行该脚本。