如何限制删除 Azure 中的安全组？答案

【问题标题】：How to restrict deletion of security group in Azure?如何限制删除 Azure 中的安全组？
【发布时间】：2023-02-04 05:37:57
【问题描述】：

是否有任何 Azure 策略可以限制用户，以便他们不能删除 Azure 中的任何安全组？即使他们可以 PIM 担任以下角色：

用户管理员
特权授权管理员
应用管理员
条件访问管理员
特权角色管理员
身份管理管理员
安全管理员

谢谢。

【问题讨论】：

嗨@AskMe，建议的解决方案对您有用吗？如果它解决了您的问题，请告诉我，否则请分享更多详细信息，以便我进行故障排除，或者接受它以帮助其他社区成员。

标签： azure azure-active-directory azure-policy azure-security

【解决方案1】：

• 目前，无法应用此类策略来防止在 Azure 中删除安全组.但是有一种方法可以通过在 Azure 中分配的 Azure AD 角色来防止删除安全组。为此，您必须确保您没有将 Azure AD 内置角色（如“用户管理员、特权身份验证管理员等”）直接分配给 Azure AD 租户中的任何用户或一组用户，这些角色的默认分配权限.

然后，create custom Azure AD roles according to your specific requirement with the required permissions only 如下文档链接中所述：-

https://learn.microsoft.com/en-us/azure/role-based-access-control/custom-roles

https://learn.microsoft.com/en-us/azure/active-directory/roles/custom-create

• 一旦创建自定义所需的 Azure PIM 特定角色，然后将这些 PIM 角色分配给所需的用户或您认为正确的一组用户。但请确保“microsoft.directory/groups/delete”和“microsoft.directory/accessReviews/definitions.groups/delete”权限未分配给创建的任何这些自定义 PIM 角色，也禁止在特权身份下分配内置 Azure AD 角色对任何用户的管理，因为这些权限仅授予分配的角色/用户删除安全组的权限。

这样，you can restrict the users of PIM and other custom roles or default roles, maybe for that matter, to prevent deleting any security groups in Azure。

【讨论】：

【解决方案2】：

简短的回答是否定的，没有这样的内置策略。但是，创建一个相当容易。请参阅以下指南了解如何操作。

它将防止意外删除。虽然，使用安全管理员等角色，您可以修改策略，从而绕过护栏（策略的意图）。

https://jeffbrown.tech/azure-policy-resource-lock/#:~:text=Resource%20locks%20prevent%20users%20from,resource%20but%20cannot%20delete%20it。

【讨论】：

【解决方案3】：

您可以尝试使用 Azure Resources Lock，这将保护您的资源不被意外删除，无论用户权限如何。查看此链接以了解有关 Azure 资源锁的更多详细信息：

https://learn.microsoft.com/en-us/azure/azure-resource-manager/management/lock-resources?tabs=json

【讨论】：

正如目前所写，您的答案尚不清楚。请edit 添加更多详细信息，以帮助其他人了解这如何解决所提出的问题。你可以在in the help center找到更多关于如何写出好的答案的信息。