无网站发布权限时如何授予Azure Function控制台访问权限

可以实现，不需要给AD组成员分配网站发布权限。

很多人误以为Microsoft.Web/sites/publish/Action等价于网站发布权限，实际上这是对Kudu权限粒度的误解：

• 内置的网站发布相关角色（比如网站参与者、App Service部署参与者、发布者角色）之所以能执行代码部署、修改站点内容的操作，是因为这些角色除了包含Microsoft.Web/sites/publish/Action之外，还额外绑定了获取发布配置文件、修改站点配置、写入部署记录等其他写权限，Microsoft.Web/sites/publish/Action本身只代表访问Kudu服务端点的权限，不等于发布权限。
• App Service门户里「开发工具 > 控制台」功能只需要访问Kudu的命令执行、文件系统浏览接口，不需要发布代码相关的权限。

你只需要创建最小权限的自定义RBAC角色，分配给目标AD组即可，步骤如下：

• 创建自定义角色，仅添加两项必要权限，完全排除所有发布相关权限：
  • 允许 Microsoft.Web/sites/Read：读取站点基础信息，确保用户能在门户找到对应App Service入口
  • 允许 Microsoft.Web/sites/publish/Action：访问Kudu服务端点，支撑控制台功能运行
    必须排除以下发布相关权限，不要加到自定义角色里：
  • Microsoft.Web/sites/publishxml/Action（获取发布配置文件）
  • Microsoft.Web/sites/config/Write（修改站点配置、写入站点文件）
  • Microsoft.Web/sites/deployments/Write（创建部署记录、推送代码）
  • Microsoft.Web/sites/extensions/Write（安装站点扩展、修改运行时）
• 将这个自定义角色分配给目标AD组，作用域限定到你需要授权的生产环境App Service资源（建议不要扩大到订阅级别，遵循最小权限原则）。
• 权限生效后做验证：用组内用户账号登录，确认可以正常打开控制台执行命令、浏览站点目录，同时尝试获取发布凭据、上传代码、修改应用设置时会被权限拦截，就符合你的要求。

不要直接给该AD组分配任何内置的App Service发布相关角色，这类角色默认带全量发布权限，无法满足你的权限隔离要求。如果需要更严格的管控，还可以在自定义角色里添加对Microsoft.Web/sites/config/publishingcredentials/Read的拒绝规则，彻底阻断用户获取发布凭据的可能。

内容的提问来源于stack exchange，提问作者Matt W