如何定制Azure订阅Contributor角色以阻止存储账户数据访问

核心思路 #

Azure RBAC是「允许+拒绝」的权限模型，不用折腾分配范围，直接在克隆的Contributor角色里添加拒绝存储数据读取的权限就能实现需求。

具体操作步骤 #

步骤1：克隆订阅级Contributor角色 #

打开Azure门户，找到目标订阅 → 进入「访问控制(IAM)」→ 切换到「角色」标签 → 找到「Contributor」角色，点击「克隆」。

步骤2：添加拒绝权限 #

在角色编辑页的「权限」部分切换到「拒绝」选项卡，按需添加以下权限：

• 限制Blob数据读取：添加Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read
• 限制文件存储数据读取：添加Microsoft.Storage/storageAccounts/fileServices/fileshares/files/read
• 限制队列存储数据读取：添加Microsoft.Storage/storageAccounts/queueServices/queues/messages/read和Microsoft.Storage/storageAccounts/queueServices/queues/read
• 限制表存储数据读取：添加Microsoft.Storage/storageAccounts/tableServices/tables/entities/read和Microsoft.Storage/storageAccounts/tableServices/tables/read

如果想一次性覆盖所有存储数据读取操作，可直接添加通配符拒绝权限：Microsoft.Storage/storageAccounts/*/read——注意这个权限会同时拒绝容器、队列等存储资源本身的读取操作，按需选择即可。

步骤3：完成角色创建 #

确认角色的可分配范围是目标订阅，给角色起个辨识度高的名称（比如「Contributor(禁存储数据读取)」），填写好角色描述后，点击「创建」。

关键说明 #

• 不要用多范围覆盖的方式，RBAC的范围是继承关系，这种方法只会增加权限管理复杂度，无法实现精准限制。
• RBAC中拒绝权限的优先级高于允许权限，所以即使Contributor角色允许所有操作，添加的拒绝权限会直接拦截存储数据的读取行为。
• 角色创建完成后，建议用测试账号分配该角色，验证是否能查看存储账户的容器列表、Blob内容等，确保权限生效。

内容的提问来源于stack exchange，提问作者AskMe