咨询：为第三方应用分配可自动化安装Azure App Service网站证书的最小权限Service Principal角色

我之前刚好处理过几乎一模一样的场景，完全理解你想遵循最小权限原则的想法——Contributor权限确实太宽泛了，给第三方这么大权限风险太高，绝对没必要。

其实Azure没有完全匹配需求的内置角色，但我们可以通过自定义角色来实现精准的权限控制，刚好满足“仅能在指定App Service上传并安装TLS证书”的需求，完全遵循最小权限原则。

具体解决方案步骤： #

1. 创建精准的自定义角色

这个角色只包含完成证书安装所需的核心权限，并且严格限定在目标App Service范围内，不会涉及其他资源。你可以用Azure CLI或者Azure门户来创建，这里给你一个CLI的示例：

az role definition create --role-definition '{
    "Name": "App Service SSL Certificate Installer",
    "Description": "仅允许在指定App Service上上传和安装TLS证书",
    "Actions": [
        "Microsoft.Web/sites/read",  // 读取App Service基础信息，是后续操作的前提
        "Microsoft.Web/sites/sslCertificates/write",  // 上传/管理App Service的SSL证书
        "Microsoft.Web/sites/hostNameBindings/write"  // 将证书绑定到网站主机名
    ],
    "AssignableScopes": ["/subscriptions/你的订阅ID/resourceGroups/你的资源组名/providers/Microsoft.Web/sites/你的App Service名称"]
}'

如果你的证书是存储在Azure Key Vault中，需要第三方从KV获取后再安装，那还要在Actions里加上Microsoft.KeyVault/vaults/certificates/get/action，同时给这个SP在对应Key Vault上分配该权限（或者直接用内置的「Certificate User」角色，但同样要限定范围）。

2. 将自定义角色分配给目标Service Principal

创建好角色后，把它分配给第三方应用对应的Service Principal，同样要严格限定到目标App Service：

az role assignment create --assignee 你的SP客户端ID --role "App Service SSL Certificate Installer" --scope "/subscriptions/你的订阅ID/resourceGroups/你的资源组名/providers/Microsoft.Web/sites/你的App Service名称"

额外提醒： #

• 一定要把角色的分配范围精确到单个App Service，而不是资源组或订阅，这样就算SP的凭据意外泄露，影响也只会局限在这个App Service上，把风险降到最低。
• 如果你习惯用Azure门户操作，也可以在「角色定义」里手动创建自定义角色，添加上述三个权限，再到目标App Service的「访问控制(IAM)」里分配给SP即可，操作逻辑和CLI一致。

这样配置后，第三方应用就只能完成证书上传和绑定的操作，完全没有修改App Service其他设置、访问其他资源的权限，完美符合你的需求。

备注：内容来源于stack exchange，提问作者InteXX