为何自定义角色定义与角色分配均需作用域？能否实现通用角色？

可以创建订阅或资源组级别的通用角色定义，再针对多个子网批量完成角色分配，无需为每个子网重复创建角色定义，以此减少重复配置工作量。

优化后的Terraform配置示例 #

1. 创建订阅/资源组级别的通用角色定义 #

# 可替换为资源组ID：var.resource_group_id，作用域覆盖目标资源组内所有子网
resource "azurerm_role_definition" "aad_custom_rbac_k8s_snet_join_action" {
  name        = "CustomRole K8s Subnet Join Action ${var.environment}"
  description = "允许Pod在指定作用域下的任意子网中创建"
  scope       = var.subscription_id # 使用订阅ID作为作用域，覆盖订阅内所有子网
  permissions {
    actions = [
      "Microsoft.Network/virtualNetworks/subnets/join/action"
    ]
  }
}

2. 批量为多个子网分配角色 #

通过for_each批量处理多个子网的角色分配，避免重复编写分配代码：

# 假设var.subnet_ids是存储所有目标子网ID的列表
resource "azurerm_role_assignment" "aks_snet_join" {
  for_each             = toset(var.subnet_ids)
  scope                = each.value
  role_definition_name = azurerm_role_definition.aad_custom_rbac_k8s_snet_join_action.name
  principal_id         = azurerm_user_assigned_identity.aks_user_assigned_identity.principal_id
  depends_on           = [azurerm_role_definition.aad_custom_rbac_k8s_snet_join_action]
}

关键说明 #

• 角色定义的作用域设为订阅或资源组级别，让该角色可在对应范围内的所有子网中复用，无需逐个子网创建角色。
• join/action权限的有效作用域固定为子网级别，因此角色分配仍需绑定到具体子网，但可通过批量处理减少重复操作。
• 确保托管标识的角色分配作用域精准到目标子网，这是Azure RBAC权限模型的硬性要求。

内容的提问来源于stack exchange，提问作者Sunil N