Azure多订阅告警管理：统一Action Group权限与方案选型问询

两种方案对比 #

集中式Action Group（推荐） #

• 核心优势：
  • 统一管控：所有告警的通知逻辑集中在一处维护，不用在100个订阅里重复配置，后续修改规则、调整收件人只需操作一次，大幅降低运维成本
  • 一致性强：能确保所有订阅的告警通知规则完全统一，避免出现个别订阅配置错误（比如误改Logic App关联链接）导致的通知异常
  • 审计便捷：所有告警的通知行为记录都集中在同一个Action Group下，合规检查时无需跨订阅分散查询
• 注意点：需要做好跨订阅的权限规划，初期配置完成后后续无需重复操作

订阅级独立Action Group #

• 看似权限隔离性更好，但缺点远大于优势：
  • 重复劳动：100个订阅需逐个创建关联同一Logic App的Action Group，后续若Logic App有变更，还要批量更新所有订阅的Action Group，工作量极大
  • 一致性风险：容易出现不同订阅的Action Group配置偏差，比如部分订阅的Action Group未同步Logic App的最新设置，导致告警通知失效

集中式方案的权限配置 #

要让订阅所有者能查看并使用集中式Action Group创建告警，需配置以下两类权限：

1. 集中式Action Group所在资源组的权限：
   • 必须配置：Microsoft.Insights/actionGroups/use/action 权限——这是允许将Action Group关联到告警规则的核心权限
   • 可选配置：Microsoft.Insights/actionGroups/read 权限——让订阅所有者能查看该Action Group的基本信息，确认使用的是正确资源
2. 订阅本身的权限：
   • 订阅所有者本身已拥有Owner角色，默认具备创建、管理告警规则的权限，无需额外配置
3. 配置技巧：
   • 不要逐个给用户分配权限，将所有订阅所有者加入同一个AD用户组，直接给该组分配权限，后续人员变动更易管理
   • 可自定义一个角色（比如命名为「Action Group 使用者」），打包上述两个权限后分配给用户组，权限边界更清晰

额外提醒 #

• 确保Logic App的触发条件未限制特定订阅来源，允许所有100个订阅的告警请求触发
• 定期审计集中式Action Group的关联情况，防止未授权的订阅违规关联
• 后续如需调整通知规则（比如更换收件人、新增通知渠道），只需修改集中式Action Group一次，所有关联的告警都会自动生效

内容的提问来源于stack exchange，提问作者Nadia Hansen