azure - 在 Azure 中，读者访问资源的真正含义是什么？

Question

读者访问资源在 Azure 中的真正含义是什么。例如，如果对 Databricks 工作区的访问权限是读取器，则具有读取器访问权限的服务主体是否能够使用该工作区？

假设，我想允许用户在存储资源中创建容器，如果我授予该用户读者对包含该存储资源的资源组的访问权限以及对该存储资源的贡献者的访问权限，这样可以吗？ ？

我读到RBAC是从顶层继承的。因此，如果我向用户授予资源组的读者访问权限，则意味着对于该资源组中的资源，该用户也将拥有读者访问权限。但是，资源的 RBAC 是否可以被覆盖，以便它成为资源的贡献者，同时仍然只维护资源组的读取者访问权限？

Answer 1

我在我的环境中测试了相同的场景并得到了以下结果:

我为资源组的用户分配了 reader 角色，为存储帐户分配了 contributor 角色，如下所示:

如果您向用户授予资源组的reader角色访问权限，则该用户只能查看资源组列表，但无法创建或修改资源组。

当用户尝试创建具有 reader 角色的资源组时，他将收到如下错误:

如果用户对存储帐户等特定资源具有贡献者角色，则他只能获得该存储帐户的访问权限，并且可以对其进行管理，例如创建容器、删除 blob 等。

请注意，如果用户在特定资源/订阅上拥有多个角色，则具有更高权限的角色将根据层次结构与其余角色重叠。

在上述场景中，即使资源组具有 reader 角色，存储帐户也具有 contributor 角色它与读者角色重叠。

基于较高权限到较低权限的层次结构如下:

所有者(高)-> 贡献者 -> 读者 -> 用户访问管理员(低)

欲了解更多详情，请引用以下链接:

What is Azure role-based access control (Azure RBAC)? | Microsoft Docs

Classic subscription administrator roles, Azure roles, and Azure AD roles | Microsoft Docs