azure - 如何在 Azure 中增加角色可分配安全组

Question

我正在通过这个Link

其中显示“在单个 Azure AD 组织(租户)中最多可以创建 500 个可分配角色的组。”

这看起来是 Azure 中的一个很大的限制。问题是，大型组织(拥有超过 500 个群组 - 我确信他们一定考虑到不同的部门/塔楼/群组/应用程序)如何管理这种限制？

创建组/访问包时必须遵循哪些最佳实践或架构决策？考虑到局限性。

谢谢。

Answer 1

根据restriction for role assignable groups ，正如您已经提到的 - 在单个 Azure AD 组织(租户)中最多可以创建 500 个可分配角色的组。

首先，角色可分配组的目的是防止潜在的违规滥用分配的权限，并且只能由全局管理员角色或PIM角色(特权身份管理)创建。由于角色可分配安全组的目的是分配角色并强调特定于 azure 资源部署或类似场景的要求的权限，因此具有高值(value)关注的角色可分配安全组的数量大多少于其他组类型。

1. 对于特定订阅，该限制无法更改。通常较小的机构或组织使用单一租户，并且该限制足以满足这些情况。

2. 大多数大型机构(例如拥有超过 100 万用户)都使用 multi tenant architechture ，以避免此类租户和配额限制/服务限制。

3. 针对区域案例采用 Multi-Tenancy 架构，以便于大型组织。

4. 这种情况使得更大的机构能够轻松地管理限制。

引用:github issue