Azure订阅能否实现资源选择性隔离？如何配置？

可以实现这类选择性资源隔离，你之前找的资源锁文档方向不对——资源锁是用来防止资源被误删或修改的，和资源可见性、权限分配完全不相关，正确的实现方式是用**Azure RBAC（基于角色的访问控制）**来做细粒度权限管控。

具体配置步骤如下：

1. 梳理资源分组（可选但推荐） #

把需要给Matt访问的5个App Service放到同一个资源组里，剩下的5个App Service和数据库、Key Vault、存储账户等其他资源，放到其他资源组或保持原有分组，这样后续权限配置更高效。

2. 配置Kevin的全资源访问权限 #

在你的Azure订阅层级的「访问控制（IAM）」中，给Kevin分配**读者（Reader）**角色。这样他就能查看订阅下的所有资源，包括全部10个App Service以及其他所有类型的资源。

3. 配置Matt的限定资源访问权限 #

• 若用资源组：找到存放那5个目标App Service的资源组，在该资源组的「访问控制（IAM）」中，给Matt分配**读者（Reader）**角色，他就只能看到这个资源组里的5个App Service，看不到其他资源。
• 若不用资源组：逐个选中那5个App Service，分别在每个资源的「访问控制（IAM）」中给Matt添加**读者（Reader）**角色，效果和资源组方式一致，仅操作步骤更多。

注意事项 #

• 确保Matt没有被分配订阅级或者其他资源组/资源的权限，否则会覆盖你设置的细粒度权限，导致他能看到更多资源。
• 所有权限配置都在Azure门户的「访问控制（IAM）」面板完成，无论是订阅、资源组还是单个资源层级，都可以在这里添加或移除角色分配。

内容的提问来源于stack exchange，提问作者Raw_Wish