Azure 创建拒绝但更新允许

【问题标题】：Azure Create deny but Update AllowAzure 创建拒绝但更新允许
【发布时间】：2021-01-16 02:53:32
【问题描述】：

我想拒绝创建虚拟机，但允许其他一切，包括更新它。

我创建了一个自定义 RBAC 角色来拒绝创建和允许其他内容，但是当我将磁盘附加到该 VM 时，我被拒绝了，因为我没有更新 VM 的权限。在 Azure 的 RBAC 中，“创建”既有创建又有更新。

所以，我想允许更新并拒绝创建。有没有其他方法，比如政策之类的？

【问题讨论】：

【解决方案1】：

现在 RBAC (Microsoft.Compute/virtualMachines/write) 中的“创建”用于创建新虚拟机或更新现有虚拟机，如果您拒绝此权限，则用户也无法更新虚拟机。

创建和更新操作在同一个权限内。我不认为我们可以拆分它。政策也不能为您做这件事。

您应该考虑将此权限分配给尽可能少的用户，以确保不容易创建虚拟机。

【讨论】：