能否通过REST API配置Azure Owner角色的合格角色分配条件？

是的，完全可以通过Azure REST API来定义这类角色分配条件，实现你需要的Owner角色权限限制需求。

核心实现方式 #

使用Azure RBAC的角色分配创建/更新API（PUT https://management.azure.com/{scope}/providers/Microsoft.Authorization/roleAssignments/{roleAssignmentName}?api-version=2022-04-01），在请求体中添加condition和conditionVersion字段，即可定义条件规则。

关键条件表达式示例 #

针对你的需求（限制被分配者仅能分配指定角色），条件表达式需要基于角色分配操作的目标角色进行过滤。示例表达式如下：

@Resource[Microsoft.Authorization/roleAssignments:roleDefinitionId] IN ('/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/roleDefinitions/acdd72a7-3385-48ef-bd42-f606fba81ae7', '/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/roleDefinitions/ba92f5b4-2d11-453d-a403-e96b0029c9fe')

• 其中acdd72a7-3385-48ef-bd42-f606fba81ae7是Reader角色的内置ID，ba92f5b4-2d11-453d-a403-e96b0029c9fe是Storage Blob Contributor角色的内置ID，你可以根据需要添加更多目标角色的ID。
• conditionVersion需设置为2.0（当前支持的最新版本）。

完整请求体示例 #

{
  "properties": {
    "roleDefinitionId": "/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/roleDefinitions/8e3af657-a8ff-443c-a75c-2fe8c4bcb635", // Owner角色的内置ID
    "principalId": "{principalId}",
    "condition": "@Resource[Microsoft.Authorization/roleAssignments:roleDefinitionId] IN ('/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/roleDefinitions/acdd72a7-3385-48ef-bd42-f606fba81ae7', '/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/roleDefinitions/ba92f5b4-2d11-453d-a403-e96b0029c9fe')",
    "conditionVersion": "2.0"
  }
}

注意事项 #

• 确保调用API的身份拥有足够权限（至少需要Microsoft.Authorization/roleAssignments/write权限）。
• 角色ID可以通过Azure CLI命令az role definition list --name "Reader"等方式获取，或者在Azure门户的角色详情页查看。
• 条件表达式支持多种逻辑运算符（IN、==、AND等），可以根据需求灵活调整。

内容的提问来源于stack exchange，提问作者user5646231