服務主體或托管標識

Question

我有一個客戶端，只能讓我完全訪問一個或兩個資源組。

我需要提供一些規定的 terraform 資源，其中包含對服務主體的需求。

您可以將 SP 鎖定到資源組嗎？ 訂閱本身是一個生產訂閱，因此他們想知道您是否可以使用僅對該組的角色庫訪問來綁定。

或者我應該創建一個 MI 帳戶？

Answer 1

您可以將 SP 鎖定到資源組嗎？

你當然可以。 Azure 基於角色的訪問控制非常精細，您可以在任何級別（管理組、訂閱、資源組甚至單個資源）應用訪問控制。

有關更多詳細信息，請參閱此內容： https://docs.microsoft.com/en-us/azure/role-based-access-control/role-assignments-steps 。