Azure企业级登陆区各资源需分配的内置角色咨询

管理组（Management Groups） #

• 管理组参与者：负责管理组层级的策略定义、订阅关联、结构调整等核心运维工作，适配平台运维团队。
• 管理组读取者：仅查看管理组的配置、已分配策略及订阅关联关系，适合审计、合规或监控团队做状态核查。
• 策略管理员：专门负责管理组层级的策略分配与合规校验，聚焦管控规则落地，适配合规管控团队。

订阅（Subscriptions） #

• 所有者：拥有订阅内所有资源的全权管理权限，包括RBAC角色分配，仅授予订阅负责人（如平台架构师、资深运维主管）。
• 参与者：管理订阅内所有资源的生命周期（创建、修改、删除），但无法更改RBAC配置，适配日常运维团队。
• 读取者：查看订阅内所有资源的配置、状态及使用数据，适合审计、监控或成本分析团队。
• 成本管理参与者：负责订阅的预算设置、成本报表分析及优化操作，适配财务或成本管控团队。
• 策略参与者：在订阅层级分配和调整合规策略，配合管理组的全局策略落地，适合合规执行团队。

虚拟网络（Vnets） #

• 虚拟网络参与者：负责VNet的创建、子网划分、NSG规则配置、路由表管理等全生命周期操作，适配网络运维团队。
• 网络安全管理员：专门管理网络安全组（NSG）的规则配置与审计，聚焦网络边界防护，适合网络安全团队。
• 网络读取者：查看VNet的拓扑、配置及流量状态，用于监控或故障排查，适配监控团队。

网关（Gateways） #

• 虚拟网络参与者：网关属于网络资源范畴，该角色可负责网关的创建、VPN/ExpressRoute连接配置、状态维护，适配网络运维团队。
• 网络读取者：查看网关的连接状态、带宽使用等数据，用于监控和性能分析，适配监控团队。

虚拟机（VMs） #

• 虚拟机参与者：负责VM的创建、启停、磁盘挂载、网络接口配置等资源层面操作，适配服务器运维团队。
• 虚拟机管理员登录：通过RDP/SSH登录VM并管理操作系统层面的配置（如软件安装、系统更新），适合应用运维或系统管理员。
• 磁盘参与者：专门管理VM的磁盘（创建、快照、挂载/卸载），适配存储运维团队。
• 读取者：查看VM的配置、运行状态及性能数据，适合监控团队。

存储账户（Storage Accounts） #

• 存储账户参与者：负责存储账户的创建、冗余策略配置、访问层级调整等资源管理工作，适配存储运维团队。
• 存储Blob数据所有者：全权管理Blob容器及数据，包括权限设置、数据生命周期规则，适合数据管理团队。
• 存储Blob数据参与者：执行Blob数据的上传、下载、删除等操作，适配应用服务或数据运维团队。
• 存储Blob数据读取者：仅读取Blob数据，适合数据分析、报表或BI团队。
• 存储文件数据所有者/参与者/读取者：对应文件共享的全权限、编辑权限、只读权限，按需分配给需要访问文件共享的团队。
• 存储队列数据参与者/读取者：对应队列服务的消息操作权限，适配依赖消息队列的应用开发团队。

SQL数据库（SQL Databases） #

• SQL服务器参与者：管理SQL服务器及下属所有数据库的资源配置（如弹性池、备份策略），适合数据库架构师。
• SQL DB参与者：管理单个SQL数据库的创建、配置及生命周期操作，但无法修改服务器级别权限，适配数据库运维团队。
• SQL DB数据所有者：全权管理数据库内的数据、表结构及用户权限，适合数据库管理员（DBA）。
• SQL DB数据参与者：执行数据库的增删改查（CRUD）操作，适合应用开发团队。
• SQL DB数据读取者：仅读取数据库数据，适合报表、数据分析或BI团队。

内容的提问来源于stack exchange，提问作者One Developer