用于从 RG 继承标签的 Azure 自定义 RBAC答案

【问题标题】：Azure Custom RBAC for inherit tags from RG用于从 RG 继承标签的 Azure 自定义 RBAC
【发布时间】：2022-07-05 19:27:47
【问题描述】：

我正在尝试创建自定义 RBAC 角色，仅用于将标签从 RG 继承到所有服务，尤其是 RG。只有当我分配贡献者角色时，脚本才起作用。我不知道我的自定义角色缺少什么权限：

{
"properties": {
    "roleName": "Tag Custom",
    "description": "",
    "assignableScopes": [
        "/subscriptions/xyz"
    ],
    "permissions": [
        {
            "actions": [
                "Microsoft.Resources/deployments/*",
                "Microsoft.Insights/alertRules/*",
                "Microsoft.Support/*",
                "Microsoft.Resources/tags/*",
                "*/read"
            ],
            "notActions": [],
            "dataActions": [],
            "notDataActions": []
        }
    ]
}

}

脚本的输出显示资源已被读取。活动日志中没有错误和输出。

【问题讨论】：

标签： azure tags rbac azure-rbac

【解决方案1】：

自定义角色支持应用注册和企业应用权限。这些权限不是由用于角色分配的自定义角色提供的。

解决方法：

您可以创建具有可分配角色的组（安全组）并将该组添加到应用程序管理角色。现在，您可以管理从应用程序管理员角色继承所有权限的组中的成员（添加/删除）。

参考：Azure AD Custom Role for Application Admin Role Assignment

【讨论】：