Azure SQL中两类漏洞评估权限差异及安全基线配置权限疑问

一、两种vulnerabilityAssessments权限的核心区别 #

• Microsoft.Sql/servers/databases/vulnerabilityAssessments：对应旧版SQL漏洞评估功能，仅用于管理传统的漏洞扫描配置（比如存储账户关联、扫描周期设置），属于逐渐被淘汰的旧版权限集。
• Microsoft.Sql/servers/databases/sqlVulnerabilityAssessments：对应新版SQL漏洞评估（SQL VA），是当前Azure官方推荐使用的版本，集成了合规安全基线规则，支持和Azure Defender联动，权限覆盖新版SQL VA的所有操作，包括安全基线配置、扫描结果管理等。

二、设置SQL数据库安全基线的权限要求 #

配置安全基线属于新版SQL VA的操作范畴，需要Microsoft.Sql/servers/databases/sqlVulnerabilityAssessments/baselines/write这个具体权限，或者包含该动作的权限集。

三、现有角色的权限覆盖情况 #

• SQL DB Contributor：这个角色仅负责数据库的常规管理（创建、修改、删除等），没有配置SQL VA安全基线的权限，单独使用它无法完成安全基线设置。
• SQL Security Manager：这个角色是专门的SQL安全管理角色，包含了新版SQL VA的完整权限（包括基线配置）。如果你的Function App需要设置安全基线，在已有SQL DB Contributor的基础上，必须额外添加SQL Security Manager角色，也可以自定义一个仅包含sqlVulnerabilityAssessments/baselines/write权限的最小化角色来满足需求。

内容的提问来源于stack exchange，提问作者michael__