azure - 创建 Azure Policy 和 Blueprint 所需的最低 IAM 角色是什么

Question

我有订阅者的访问权限。但我无法创建 Azure Policy 并将其分配给订阅下的特定资源组。如果我需要创建 Azure 策略并将其应用于订阅或管理组级别，我需要分配什么角色。

Answer 1

根据我的研究，许多内置角色授予对 Azure Policy 资源的权限。资源策略参与者角色包括大多数 Azure Policy 操作。所有者拥有全部权利。Contributor和Reader都可以使用所有读取 Azure Policy 操作，但Contributor也可以触发补救。更多详细信息，请参阅文档

根据您的需要，您可以尝试使用 Resource Policy Contributor 角色

此外，您还可以尝试创建自定义角色以满足您的需求。Azure Policy 在两个资源提供程序中具有多个权限：Microsoft.Authorization和Microsoft.PolicyInsights

Answer 2

您将需要“所有者”角色来创建策略定义和策略分配。

请查看描述Owner 和 Contributor 角色以及这些角色的 Actions 和 NotActions 的文档。