Azure RBAC 角色和服务主体之间有什么关系？
它们是同一个东西还是 Azure RBAC 角色是帐户的属性，可以通过不同的 RBAC 角色创建不同的服务主体？
Azure RBAC 角色与角色分配中的roles之间有什么关系？
（比如Azure RBAC owner role可以创建Virtual Machine Administrator Login角色，为什么都是调用角色！！！！！！很混乱）
【问题讨论】：
标签： azure service-principal azure-rbac
我自己总结的一些资料，帮助大家理解。
1. RBAC 角色用于分配给用户/服务主体，然后用户/服务主体将能够访问您为其分配角色的范围内的 azure 资源。 如果您不熟悉服务主体，请参阅此doc。
有Built-in roles，也可以创建custom role，都是RBAC角色。每个角色都有permissions，例如所有者拥有Microsoft.Authorization/*/Write 权限，它允许Create roles, role assignments, policy assignments, policy definitions and policy set definitions。一旦用户/服务主体被分配为 RBAC 角色，他将获得相应的权限。
2.Azure RBAC 角色和角色分配中的角色是一回事。
比如Azure RBAC owner角色可以创建虚拟机管理员登录角色，为什么都是调用角色！！！！！！很混乱
您应该注意，Virtual Machine Administrator Login 不是称为 create，而是由 Azure 定义的 RBAC 内置角色，Owner 只是在某个范围内将用户/服务主体分配为 Virtual Machine Administrator Login 角色（例如您的资源组/订阅/虚拟机）。
另外一点，Owner 是所有 RBAC 角色中权限最多的角色。在内置角色中，just Owner 和 User Access Administrator 可以将用户/服务主体分配为 RBAC 角色（只是 Owner 和 User Access Administrator 具有 Microsoft.Authorization/*/Write 权限，我上面提到过，它用于分配角色。If you create a custom role which also has this permission, it will also be able to assign role）。所以我在1中说的you一定是Owner。
【讨论】：
lower privileged roles，所有者还可以将所有者角色分配给其他人。 3. 角色可以被继承，例如如果用户是订阅范围内的所有者，他可以将角色分配给此订阅中任何组中的其他人。
Azure RBAC roles，不知道你从哪里得到的【讨论】：
Azure RBAC includes over 70 built-in roles. There are four fundamental RBAC roles.