需分配何种内置RBAC角色以编辑EventGrid系统主题订阅的高级筛选器？

针对你的场景（更新存储账户作为源的EventGrid订阅advanced filters），以下几个内置RBAC角色可以满足需求，按权限从精细到宽泛排序：

• EventGrid Contributor
  这个角色拥有所有EventGrid资源的管理权限，包括系统主题（比如存储账户对应的EventGrid系统主题）的订阅操作。你可以把这个角色分配给目标AD组，作用范围设置为存储账户所在的资源组或订阅层级，这样就能管理该范围内的EventGrid订阅，包括修改advanced filters。
  你之前找不到EventGrid EventSubscription Contributor是因为这个角色的作用范围限定在EventGrid专属资源（如自定义主题），而存储账户的EventGrid订阅属于系统主题，不在该角色的覆盖范围内。

• Storage Account Contributor
  该角色拥有存储账户的完全管理权限，包括管理存储账户上绑定的EventGrid系统主题订阅。如果你的AD组本身需要管理存储账户的其他操作，这个角色很合适；但如果只需要EventGrid订阅的修改权限，这个角色的权限略宽泛。

• Contributor
  这是通用的全资源管理角色，能修改所有类型的资源，包括EventGrid订阅。但权限过于宽泛，除非没有其他更合适的角色，否则不推荐使用。

注意：分配角色时，务必遵循最小权限原则，优先选择权限范围最匹配的角色（比如优先EventGrid Contributor），避免过度授权。

内容的提问来源于stack exchange，提问作者ericOnline