能否为单个特定资源创建自定义RBAC角色？如何隔离存储账户权限

当然可以实现，核心思路是将RBAC角色的分配作用域缩小到你的个人存储账户这个单个资源上，而不是停留在资源组级别。具体操作如下：

操作方式（以Azure为例） #

门户操作步骤 #

• 打开Azure门户，定位到你的个人存储账户
• 进入该存储账户的「访问控制(IAM)」页面
• 切换到「角色分配」标签，点击「添加」→「添加角色分配」
• 在角色列表中找到你创建的自定义RBAC角色并选中
• 选择需要赋予权限的用户/组/服务主体
• 确认作用域自动设为当前存储账户（无需修改），完成分配
• 记得删除之前在资源组级别创建的该角色分配，避免权限范围冗余

Azure CLI命令方式 #

如果习惯用命令行，可以执行以下操作：

# 先删除资源组级别的旧分配（可选，若不需要保留的话）
az role assignment delete --assignee <你的用户ID或用户名> --role <自定义角色名称> --resource-group <资源组名称>

# 在目标存储账户级别分配自定义角色
az role assignment create --assignee <你的用户ID或用户名> --role <自定义角色名称> --scope "/subscriptions/<订阅ID>/resourceGroups/<资源组名称>/providers/Microsoft.Storage/storageAccounts/<你的存储账户名>"

原理说明：RBAC的作用域支持从订阅、资源组到单个资源的层级精准控制，将分配作用域限定到单个存储账户后，该自定义角色的所有权限就只会作用于这个账户，同资源组内的其他存储账户不会受到影响。

内容的提问来源于stack exchange，提问作者Quies