Azure AD用户：已分配角色与Azure角色分配有何区别？

这两个菜单项对应Azure里两套完全独立的权限体系，核心区别如下：

• 已分配角色（Assigned Roles）
  属于Azure AD目录角色体系，管控的是Azure Active Directory本身的权限，比如用户创建/删除、组管理、租户域名配置、Azure AD应用注册管理等AD层面的操作。常见角色有全局管理员、用户管理员、身份验证管理员等，权限作用范围默认覆盖整个Azure租户的AD环境。

• Azure角色分配（Azure Role Assignments）
  属于Azure RBAC（基于角色的访问控制）体系，管控的是Azure云资源的权限，比如虚拟机、存储账户、App Service、SQL数据库等具体云资源的操作权限。常见角色有虚拟机参与者、存储账户读取者、资源组所有者等，权限作用范围可以灵活设置为订阅、资源组甚至单个资源，是针对云资源的精细化权限管控。

举个简单例子：如果要让用户能管理租户内的所有用户账号，就在「已分配角色」里给他分配「用户管理员」；如果只需要让用户管理某个特定资源组里的虚拟机，就在「Azure角色分配」里给他分配「虚拟机参与者」角色并指定该资源组作为范围。

内容的提问来源于stack exchange，提问作者kevin