存儲帳戶生命周期策略管理工作的 Azure IAM 權限是什么？

Question

在我的測試訂閱中添加了一個策略，它按預期工作。 我的 PROD 子工作中的相同策略沒有做任何事情，它應該將 blob 從熱移動到冷訪問層。 在我的測試潛艇上，我擁有所有者權限和存儲 blob 數據貢獻者權限。 在我的 PROD 子上，我有存儲帳戶參與者和存儲 blob 數據所有者，我是否還應該添加存儲 blob 數據參與者權限？ 這不會包含在存儲帳戶貢獻者中嗎？

Answer 1

為了使用Azure 存儲帳戶生命周期管理策略，您需要包含Microsoft.Storage/storageAccounts/managementPolicies/write寫入權限的角色。

允許您使用生命周期管理策略的有效角色是：

• 所有者- 它授予您管理所有資源以及分配角色的完全訪問權限。
• 貢獻者- 它不允許您分配角色，但授予管理所有資源的完全訪問權限。
• 存儲帳戶貢獻者- 它授予您管理存儲帳戶的完全訪問權限（僅）。

由於您的Test訂閱具有所有者權限，因此您可以管理生命周期管理策略。

要確認這一點，請單擊角色並檢查存儲管理策略：

無需將存儲 Blob 數據參與者角色分配給Prod訂閱，因為它已經具有包含以下操作的存儲帳戶參與者角色：

我試圖通過分配存儲帳戶參與者角色在我的環境中重現相同的結果，並得到以下結果。

我創建了一個生命周期管理策略，將 blob 從熱層移動到冷訪問層，如下所示：

Go 到 Azure 門戶 -> 存儲帳戶 -> 您的帳戶 -> 生命周期管理 -> 添加角色

當我檢查 blob 時，它們仍處於Hot訪問層，如下所示：

正如我最近創建的政策一樣，它可能需要長達48 小時才能生效，如下所述：

如果這是您的情況，請等待預定的時間段並在幾天后檢查。 我會在幾天內通知您這些 Blob 是否從熱層移至冷訪問層。

參考：

管理生命周期策略 - Azure 存儲 | 微軟文檔

Azure 內置角色 - Azure RBAC | 微軟文檔