Azure 角色分配优先级

Question

假设用户分配了以下角色结构。

1. 订阅范围内的贡献者
2. 资源组范围内的读取器。此资源组在订阅内。
3. Cosmos DB 帐户读取者角色在第 2 点中的资源组内的 cosmos db 中

用户可以对cosmos db进行写操作吗？

我找不到有关此用例的任何文档。

Answer 1

用户可以对 cosmos db 进行写操作吗？

是的，因为用户在订阅级别处于 Contributor 角色，并且 Azure RBAC 是一种附加模型，其中有效权限是根据所有角色分配计算的。来自这个link：

多重角色分配

如果您有多个重叠的角色分配会发生什么？ Azure RBAC 是一种附加模型，因此您的有效权限是 您的角色分配的总和。考虑以下示例，其中 用户被授予订阅范围内的贡献者角色，并且 资源组的读者角色。贡献者的总和 权限和读者权限实际上是贡献者 订阅的角色。因此，在这种情况下，Reader 角色 分配没有影响。