如何创建适用于特定Azure服务（如App Service）的自定义角色？

是的，你完全可以创建仅针对特定Azure服务（比如App Service）的自定义角色，具体实现方式如下：

核心逻辑 #

自定义Azure角色时，通过在角色定义中限定目标服务的资源命名空间，就能让角色仅对该服务生效，主要通过权限配置和可分配范围两方面实现。

具体操作步骤 #

1. 精准定义服务权限 #

在角色的Permissions配置中，只包含目标服务（例如App Service对应的命名空间为Microsoft.Web）的操作权限。示例JSON片段：

"Permissions": [
  {
    "Actions": [
      "Microsoft.Web/sites/read",
      "Microsoft.Web/sites/config/write",
      "Microsoft.Web/appserviceplans/read"
    ],
    "NotActions": [],
    "DataActions": [],
    "NotDataActions": []
  }
]

2. 限定可分配范围（可选） #

如果希望该角色只能分配给App Service相关资源，可在AssignableScopes中指定具体的资源路径，比如：

"AssignableScopes": [
  "/subscriptions/{你的订阅ID}/resourceGroups/{资源组名}/providers/Microsoft.Web/sites",
  "/subscriptions/{你的订阅ID}/resourceGroups/{资源组名}/providers/Microsoft.Web/appserviceplans"
]

即使指定整个订阅作为可分配范围，结合上面的权限配置，角色仍仅对App Service资源生效。

3. 创建自定义角色 #

可通过Azure门户、Azure CLI或PowerShell完成创建：

• Azure CLI命令示例：

  az role definition create --role-definition @custom-appservice-role.json
  

• Azure PowerShell命令示例：

  New-AzRoleDefinition -InputFile .\custom-appservice-role.json
  

注意要点 #

• 确认服务命名空间准确性：App Service对应Microsoft.Web，其他服务的命名空间可通过Azure官方文档查询。
• 创建自定义角色需要拥有Microsoft.Authorization/roleDefinitions/write权限。

内容的提问来源于stack exchange，提问作者Allan Xu