azure - 如何拒绝订阅级别贡献者角色对 Azure 中特定资源组的访问

Question

我尝试编写自定义 RBAC 角色以拒绝在订阅级别上担任贡献者角色但未能成功的用户访问特定资源组，我只想拒绝订阅中特定资源组的用户，但用户应该拥有所有其他访问权限.

标签： azureamazon-iamrbac

Answer 1

如果您创建自定义角色，这将起作用，但是，自定义角色不会附加到现有权限，因此自定义角色中的 DENY 权限仅适用于您在同一自定义角色中授予的权限。

因此，如果用户是 RBAC 的订阅贡献者，则无法执行此操作。不过，您可能会想出一些 Azure Policy。