Azure - 限制对托管身份和服务主体的角色分配

Question

我们的 Azure 工程师需要能够管理用于运行他们部署到云中的软件的身份和权限。

然而，授予他们分配 RBAC 角色的能力也允许他们为任何 AD 用户或组分配权限——而不仅仅是系统身份（托管身份、服务主体）。

我如何配置 Azure 以允许工程师为其软件授予操作权限，但阻止他们向其他 AD 实体授予权限？

Answer 1

目前无法限制要分配角色的主体（用户或服务/应用程序）的范围或选择。通常，开发人员被授予 Contributor role，这使他们能够访问几乎所有管理功能，但用户访问权限，而选定的用户被授予 User Access Administrator 角色。