请求协助识别Azure ARM中Microsoft_Resources/marketplace/purchase/action权限来源

核心用途 #

这是Azure RBAC体系下，管控Azure Marketplace资源采购操作的细粒度动作权限，归属Microsoft.Resources资源提供商范畴。它的核心作用是授权主体（用户/服务主体）执行Marketplace内的采购相关操作，比如订阅付费SKU、创建Marketplace应用/服务实例等。

权限起源与适用场景 #

• 该权限通常包含在与Marketplace采购相关的角色中：既可能是Azure内置的「Marketplace Purchaser」这类角色，也可能是企业自定义的RBAC角色（用于拆分更细的权限管控）。
• 典型适用场景：
  • 给特定用户授予仅能采购Marketplace资源的权限，避免过度授权其他资源管理权限
  • 审计场景中，追踪触发Marketplace采购操作的权限来源
  • 限制非授权人员/服务进行Marketplace采购，管控云支出

追溯来源的可行方法 #

如果无法确定此权限的配置来源，可以尝试：

1. 检查Azure AD中的所有自定义RBAC角色，搜索是否有角色显式包含Microsoft_Resources/marketplace/purchase/action动作
2. 查看Azure Activity Log，筛选Microsoft.MarketplaceOrdering/orderActions/write等相关操作记录，关联调用该权限的主体信息
3. 确认是否有第三方应用、自动化服务主体被授予了包含此权限的角色

内容的提问来源于stack exchange，提问作者Amir Hershkovitz