存储帐户生命周期策略管理工作的 Azure IAM 权限是什么？

Question

在我的测试订阅中添加了一个策略，它按预期工作。 我的 PROD 子工作中的相同策略没有做任何事情，它应该将 blob 从热移动到冷访问层。 在我的测试潜艇上，我拥有所有者权限和存储 blob 数据贡献者权限。 在我的 PROD 子上，我有存储帐户参与者和存储 blob 数据所有者，我是否还应该添加存储 blob 数据参与者权限？ 这不会包含在存储帐户贡献者中吗？

Answer 1

为了使用Azure 存储帐户生命周期管理策略，您需要包含Microsoft.Storage/storageAccounts/managementPolicies/write写入权限的角色。

允许您使用生命周期管理策略的有效角色是：

• 所有者- 它授予您管理所有资源以及分配角色的完全访问权限。
• 贡献者- 它不允许您分配角色，但授予管理所有资源的完全访问权限。
• 存储帐户贡献者- 它授予您管理存储帐户的完全访问权限（仅）。

由于您的Test订阅具有所有者权限，因此您可以管理生命周期管理策略。

要确认这一点，请单击角色并检查存储管理策略：

无需将存储 Blob 数据参与者角色分配给Prod订阅，因为它已经具有包含以下操作的存储帐户参与者角色：

我试图通过分配存储帐户参与者角色在我的环境中重现相同的结果，并得到以下结果。

我创建了一个生命周期管理策略，将 blob 从热层移动到冷访问层，如下所示：

Go 到 Azure 门户 -> 存储帐户 -> 您的帐户 -> 生命周期管理 -> 添加角色

当我检查 blob 时，它们仍处于Hot访问层，如下所示：

正如我最近创建的政策一样，它可能需要长达48 小时才能生效，如下所述：

如果这是您的情况，请等待预定的时间段并在几天后检查。 我会在几天内通知您这些 Blob 是否从热层移至冷访问层。

参考：

管理生命周期策略 - Azure 存储 | 微软文档

Azure 内置角色 - Azure RBAC | 微软文档