Azure APIM：授予AD组订阅请求审批及读取权限的RBAC配置

核心结论 #

Azure内置RBAC角色无法精准匹配「订阅请求审批+读取」的组合权限需求，必须创建自定义RBAC角色来实现。

操作步骤 #

1. 梳理所需权限 #

要满足需求，需包含两类核心权限：

• 读取权限：所有Microsoft.ApiManagement/service/read前缀的资源读取权限（覆盖APIM实例、API、产品等基础查看权限）
• 订阅审批权限：Microsoft.ApiManagement/service/subscriptions/approve/action和Microsoft.ApiManagement/service/subscriptions/reject/action两个操作权限

2. 创建自定义RBAC角色 #

1. 登录Azure门户，进入目标APIM实例的**访问控制(IAM)**页面
2. 点击添加 > 添加自定义角色
3. 在「基本信息」页：
   • 填写角色名称（例如APIM订阅审批读取者）
   • 补充角色描述（明确权限范围：可查看APIM资源并审批订阅请求）
   • 选择权限分配范围（建议直接指定该APIM实例，最小化权限范围）
4. 在「权限」页：
   • 搜索read关键词，勾选所有Microsoft.ApiManagement/service/read相关权限
   • 单独搜索approve和reject，勾选对应的订阅操作权限
5. 完成配置后保存角色

3. 为目标AD组分配自定义角色 #

1. 回到APIM实例的访问控制(IAM)页面，点击添加 > 添加角色分配
2. 在「角色」列表中选择刚创建的自定义角色
3. 在「成员」页选择「用户、组或服务主体」，搜索并选中目标AD组
4. 确认信息后点击分配

4. 权限验证 #

让AD组内用户登录Azure门户，进入APIM实例：

• 检查是否能正常查看APIM的API、产品、订阅列表等资源（验证读取权限）
• 进入「订阅」页面，尝试处理待审批的订阅请求（验证审批权限）

内容的提问来源于stack exchange，提问作者Azure Dev