Azure SQL Server导入数据库所需的最小RBAC权限配置咨询

问题背景 #

你当前用actions = ["Microsoft.Sql/*", "Microsoft.Storage/*"]的权限范围过宽，包含了所有写入及破坏性操作；搭配预定义「Reader」角色时，Azure门户导入数据库会触发权限错误，但CLI操作正常——这是因为门户需要额外权限加载界面依赖的资源，而CLI仅需核心操作权限。

最小权限配置 #

以下是同时支持门户和CLI导入数据库的最小权限集合，可用于自定义角色：

必要的Actions权限

"actions": [
    // SQL Server核心权限
    "Microsoft.Sql/servers/read",
    "Microsoft.Sql/servers/databases/read",
    "Microsoft.Sql/servers/databases/import/action",
    "Microsoft.Sql/servers/firewallRules/read",
    "Microsoft.Sql/servers/connectionPolicies/read",
    // 存储账户权限（用于读取备份文件）
    "Microsoft.Storage/storageAccounts/read",
    "Microsoft.Storage/storageAccounts/blobServices/containers/read",
    "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read",
    // 门户界面依赖的资源组权限
    "Microsoft.Resources/subscriptions/resourceGroups/read"
]

权限说明

• Microsoft.Sql/servers/databases/import/action：执行数据库导入操作的核心权限
• 各类read权限：满足Azure门户加载服务器、存储账户、资源组等界面元素的需求，CLI操作本身不需要这些，但门户依赖它们渲染页面
• 存储相关的read权限：确保能访问导入所需的bacpac备份文件

配置建议 #

1. 基于上述权限创建自定义Azure RBAC角色
2. 将该角色分配至目标Azure SQL Server、对应的存储账户（或其所属资源组/订阅）
3. 测试门户和CLI的数据库导入操作，确认权限足够

内容的提问来源于stack exchange，提问作者Prebiusta