Azure 角色分配优先级

Question

假设用户分配了以下角色结构。

1. 订阅贡献者 scope
2. 资源组 scope 的读者。该资源组在订阅内。
3. cosmos db 上的 Cosmos DB Account Reader 角色位于第 2 点的资源组内）

用户可以对cosmos db进行写操作吗？

我找不到有关此用例的任何文档。

Answer 1

用户可以对 cosmos db 进行写操作吗？

是的，因为用户在订阅级别处于Contributor角色，并且 Azure RBAC 是一个附加项 model，其中有效权限是根据所有角色分配计算的。 从这个link ：

多重角色分配

那么，如果您有多个重叠的角色分配会怎样？ Azure RBAC是model的加法，所以你的有效权限是你角色分配的总和。 请考虑以下示例，其中用户被授予订阅 scope 的参与者角色和资源组的读者角色。 Contributor 权限和 Reader 权限的总和实际上是订阅的 Contributor 角色。 因此，在这种情况下，Reader 角色分配没有影响。