Azure 创建拒绝但更新允许

Question

我想拒绝创建虚拟机，但允许执行其他操作，包括更新它。

我创建了一个自定义 RBAC 角色来拒绝创建并允许其他内容，但当我将磁盘附加到该虚拟机时，我被拒绝了，因为我没有更新虚拟机的权限。在azure的RBAC中，“创建”既有创建又有更新。

所以，我想允许更新并拒绝创建。有没有其他方法，比如政策之类的？

Answer 1

现在 RBAC 中的“创建”(Microsoft.Compute/virtualMachines/write) 用于创建新虚拟机或更新现有虚拟机，如果您拒绝此权限，则用户也不允许更新虚拟机。

创建和更新操作权限相同。我不认为我们可以分开它。政策也无法为您做这件事。

您应该考虑将此权限分配给尽可能少的用户，以确保不容易创建虚拟机。