Azure中限制userA仅访问sub_production下的rg_report_prod资源组

步骤1：清理冗余权限，确保资源组级权限正确 #

• 移除用户userA在sub_production订阅上的Reader角色，彻底消除其查看所有资源组的权限。
• 验证userA在rg_report_prod资源组上的Reader角色分配：确认角色范围严格限定为该资源组，用户主体信息匹配无误。

步骤2：解决订阅面板无法访问资源组的问题 #

当用户仅拥有资源组级权限时，默认无法在订阅面板看到对应订阅（因缺少订阅级查看权限），可通过两种方式处理：

方式一：无需订阅面板入口，直接访问资源组 #

• 让userA在Azure门户顶部搜索框直接输入rg_report_prod，点击搜索结果中的目标资源组即可进入。
• 或通过门户左侧菜单的「所有资源」，筛选资源组名称rg_report_prod，从对应资源的入口进入资源组详情页。

方式二：允许用户查看订阅但仅能访问指定资源组 #

若必须让userA在订阅面板看到sub_production订阅，但限制其仅能访问rg_report_prod，可按以下操作：

1. 创建自定义订阅级角色，仅授予以下权限：

   Microsoft.Subscription/subscriptions/read
   Microsoft.Resources/subscriptions/resourceGroups/read
   

   该角色仅允许用户查看订阅和资源组列表，但无法访问资源组内的具体内容。
2. 给userA分配这个自定义订阅级角色，同时保留其在rg_report_prod资源组上的Reader角色，确保能访问该资源组内的资源。
3. （可选）添加Deny权限：在订阅级别给userA分配「拒绝资源组读取」的自定义Deny角色，将rg_report_prod资源组设为例外。这样用户在订阅面板能看到所有资源组名称，但无法进入除rg_report_prod外的其他资源组。

关键说明 #

• 资源组级权限本身完全有效，无需依赖订阅级角色即可访问目标资源组，只是默认的门户访问入口需要调整。
• 绝对避免使用订阅级Reader角色，该角色会直接绕过资源组级的权限限制，导致用户能查看所有资源组。

内容的提问来源于stack exchange，提问作者learner