如何使用Azure Policy拒绝RBAC权限拦截存储账户写入操作

结论先行：你提供的示例策略无法实现「直接拦截存储账户写入权限操作」的需求，且Azure Policy本身的定位就不支持直接拦截已被RBAC授权的操作请求。

• 你现有策略的实际作用
  你写的规则匹配字段是Microsoft.Authorization/roleDefinitions/permissions.actions[*]，这个字段对应角色定义的配置内容，规则生效后仅会阻止创建/更新包含Microsoft.Storage/storageAccounts/write操作条目的自定义角色，完全不会影响已经持有对应权限的用户发起的存储账户写入请求。另外注意你代码里的操作名存在大小写错误，正确的存储账户写入操作名是Microsoft.Storage/storageAccounts/write（驼峰命名的Accounts首字母大写，Azure资源提供程序的操作字符串大小写敏感，写错会导致规则匹配失效）。
• Azure Policy和RBAC的管控边界差异
  • RBAC是Azure原生的访问鉴权系统，在请求入口就会校验发起请求的身份是否有对应操作的执行权限，是操作权限管控的核心实现方式
  • Azure Policy的核心作用是保障Azure资源的配置合规，它的Deny效果作用于资源的创建/更新ARM请求阶段，不会在身份鉴权层做拦截——如果用户已经通过合法的角色分配拿到了存储账户写入权限，Azure Policy不会因为用户持有这个权限就拒绝其正常操作。
• 对应需求的正确实现方案
  如果你要实现的目标是全局阻止指定范围内的存储账户写入操作，不需要绕去拦截角色定义，直接编写针对存储账户资源类型的Deny策略即可，参考规则片段：

"policyRule": {
  "if": {
    "allOf": [
      {
        "field": "type",
        "equals": "Microsoft.Storage/storageAccounts"
      }
    ]
  },
  "then": {
    "effect": "Deny"
  }
}

如果你需要更细粒度的管控，比如只允许特定合规身份执行存储账户写入，优先通过RBAC的角色分配实现：在管控范围内不给非授权身份分配包含存储写入权限的角色，仅给合规身份分配对应权限即可，这是Azure官方推荐的权限管控路径。
如果你要实现的目标是禁止租户内创建包含存储写入权限的自定义角色，那修正操作名大小写后的原策略就可以生效，但这个效果和你描述的「拦截权限操作本身」完全不是一回事。

内容的提问来源于stack exchange，提问作者user13696433