在 Azure RBAC 中管理資源與訪問資源之間的區別

Question

在Azure RBAC中管理資源與訪問資源有什么區別。 如果我可以管理資源，那么我絕對可以訪問它們。 我無法理解其中的區別。 有人可以幫我澄清一下嗎

Answer 1

如果我可以管理資源，那么我絕對可以訪問它們。

當然可以，我們以 Azure Storage 為例，可以通過分配Storage Account Contributor角色來進行管理。 文檔告訴我們這個角色

允許管理存儲帳戶。 提供對帳戶密鑰的訪問，可用於通過共享密鑰授權訪問數據。

所以是的，擁有管理權限可以包括訪問 Azure 資源的數據平面。

因此，在分配角色時，您需要小心。 始終根據最小權限原則分配角色。 DevOps 人員可能需要分配存儲帳戶參與者。 但是，使用托管標識讀取存儲帳戶內的 blob 的 web 應用程序最好分配存儲 blob 數據讀取器，這樣它就沒有比它真正需要的訪問權限，例如防止 web 應用程序意外刪除 blob。

另一個例子：在我的組織中，有些人可以訪問某些 Azure Monitor 日志和指標。 我們沒有為他們分配管理權限，而是為他們分配了 Azure 監控讀者角色而不是監控參與者，因為我們不希望他們修改與監控相關的任何設置。

希望這可以清除有關不同權限范圍以及何時使用它們的問題。