是否存在数据工厂需要成为 Azure 订阅所有者的情况？答案

【问题标题】：Is there any situation where a data factory needs to be Owner of an Azure subscription?是否存在数据工厂需要成为 Azure 订阅所有者的情况？
【发布时间】：2021-02-16 20:37:47
【问题描述】：

我碰巧注意到数据工厂 (ADFv2) 是我们其中一个 Azure 订阅的所有者。这是一个典型的 ADF，并没有做任何不寻常的事情。我猜这是错误的 - 但只是想在论坛中询问是否存在数据工厂需要成为给定订阅所有者的真实场景？

【问题讨论】：

also -- 数据工厂存在于同一个订阅中。
我们不清楚您的问题。你能给我们看一些截图吗？
您对此问题还有其他顾虑吗？

标签： azure-data-factory azure-data-factory-2

【解决方案1】：

是的，@Nandan 所说的基本上是正确的，更具体地说，当您需要使用 ADFv2 的 MSI(managed identity) 对 Azure 资源进行身份验证/调用 Azure 时，基本上将 Owner 分配给 ADFv2 的 MSI REST API，需要RBAC role（在你的情况下，它是Owner），做大部分事情，其他一些角色就足够了，例如Contributor，要执行create role assignment 之类的操作，您需要角色具有更高的权限，例如Owner.

我回答的三个具体案例可以帮助你理解：

【讨论】：

【解决方案2】：

Azure 数据工厂是否使用 REST API 等用于任何自动化目的？比如跨 RG 扩展资源或暂停/恢复资源？

如果是这种情况，那么 ADF 可能已被授予订阅中存在的 RG 中所有对象中的 MSI 的所有者访问权限。

如果此 ADF 特定于数据提取用例，则无需向 ADF 所有者提供对整个订阅的访问权限。

【讨论】：