如何阻止AAD用户创建Azure订阅？

方法1：通过Azure RBAC权限管控 #

• 移除用户的订阅创建权限：默认普通用户拥有创建订阅的权限，需通过Azure AD角色调整：
  • 登录Azure门户，进入Azure Active Directory > 角色和管理员
  • 找到「订阅创建者」角色，移除无需该权限的用户或用户组
  • 如需精细化控制，可创建自定义角色，明确拒绝Microsoft.Subscriptions/subscriptions/write权限，再分配给目标用户

方法2：使用Azure Policy强制拦截 #

• 创建针对性策略，禁止特定类型订阅的创建：
  • 策略规则可通过订阅类型（subscriptionType）筛选，拦截免费试用、即用即付、学生订阅的创建，示例JSON规则片段：

    {
      "if": {
        "allOf": [
          {
            "field": "Microsoft.Subscriptions/subscriptions/subscriptionType",
            "in": ["Free Trial", "Pay-As-You-Go", "Student"]
          }
        ]
      },
      "then": {
        "effect": "Deny"
      }
    }
    

  • 将该策略分配至租户级别，确保所有用户创建对应类型订阅时会被拦截

方法3：通过计费账户设置限制 #

• 若使用企业协议（EA）或云解决方案提供商（CSP）计费账户：
  • 登录Azure计费门户，进入计费账户 > 访问控制（IAM）
  • 仅允许指定管理员拥有订阅创建权限，移除普通用户的相关权限
  • 针对学生订阅，可在Azure教育门户中限制学生用户的订阅创建权限

内容的提问来源于stack exchange，提问作者umasrilakshmi21