修改OOTB安全角色是否会被微软更新覆盖？相关最佳实践咨询

修改OOTB安全角色的内容是否会被微软后续更新覆盖？ #

常规产品版本更新不会覆盖你对OOTB（开箱即用）安全角色的自定义调整，但存在两类例外场景可能导致修改被重置：

• 微软针对高危安全漏洞发布强制权限修复更新，涉及调整OOTB角色的默认权限配置
• 产品底层架构大版本迭代，权限体系整体重构，同步重置OOTB角色到适配新版本的默认状态

上述场景微软通常会提前发布官方通知，但无法100%保障所有自定义修改都能完整保留。

直接修改OOTB角色是否属于不推荐的操作？ #

是，该操作属于需要严格避免的非规范实践，核心原因如下：

• 存在前文提到的更新覆盖风险，一旦发生会直接打乱业务权限配置，排查和恢复成本极高
• OOTB角色是产品官方提供的权限基准，修改后会导致权限审计、问题排查时没有可参考的原始基准，大幅提升运维难度
• 部分产品内置功能强依赖OOTB角色的默认权限配置，擅自修改可能引发未知的功能异常，这类问题的排查难度远高于自定义角色的权限问题

复制OOTB角色添加组织前缀后再修改是不是最佳实践？ #

这是业内通用的标准化最佳实践，具体操作建议如下：

• 所有需要自定义调整的安全角色，都基于对应权限层级的OOTB角色复制生成，命名统一增加企业/组织唯一前缀，比如Corp_销售管理员，和默认OOTB角色做明确区分
• 所有权限调整都在自定义生成的角色上操作，全程保留OOTB角色的默认配置，微软任何更新都不会触碰你自行创建的自定义角色，配置稳定性100%有保障
• 默认OOTB角色可随时作为权限比对、问题排查的基准，需要使用默认权限时直接分配原OOTB角色即可，无需额外做配置恢复

内容的提问来源于stack exchange，提问作者Don Cheadle