Azure RBAC中角色（Roles）与作用域（Scopes）的区别是什么？

我正在阅读官方文档中的《Azure基于角色的访问控制(RBAC)是什么？》一文，但难以区分作用域（Scopes）和角色（Roles）的差异。

我查阅了以下线程，但未找到有用信息，原因如下：

• stackoverflow：Scope/Role/Group Based Access Control
  该问题与我的需求不符，且答案和我阅读的内容不一致（也可能是我理解有误）。另外，该线程发布于2015年，最后更新为2016年1月。
• stackoverflow：Is Microsoft Azure's Access Control service authentication model the same as role based access control?
  未展开介绍RBAC，仅涉及AAC。
• stackoverflow：Role-Base Access Control in Azure web and database
  仅链接至官方文档或与本问题无关。
• stackoverflow：What is the correct use of scopes and app roles in an Azure AD web api with user and daemon clients?
  未尝试解释角色与作用域的区别。

内容的提问来源于stack exchange，提问作者toraritte