是否可通过RBAC或其他方式仅授予Azure Event Grid Domain特定主题访问权限

你此前自定义角色创建时报错的根本原因是：Event Grid 域主题属于域资源下的子资源，不支持直接作为自定义角色的可分配范围参数值，属于Azure ARM资源模型的固有约束。

你需要的权限限制可以通过以下步骤实现：

步骤1：创建最小权限自定义角色 #

该角色仅开放域主题的事件发布权限，可分配范围设置为对应资源组或订阅即可：

{
  "Name": "EventGrid域主题专属发布者",
  "IsCustom": true,
  "Description": "仅允许向EventGrid域主题发布事件",
  "Actions": [
    "Microsoft.EventGrid/domains/topics/publish/action"
  ],
  "AssignableScopes": [
    "/subscriptions/<你的订阅ID>/resourceGroups/<你的资源组名称>"
  ]
}

你可以通过Azure门户、Azure CLI或PowerShell创建上述自定义角色。

步骤2：在指定域主题维度绑定角色授权 #

自定义角色创建完成后，直接在目标域主题的资源层面做角色分配即可实现权限隔离：

• 进入对应的EventGrid Domain资源管理页，在左侧导航栏选择「域主题」
• 选中你要开放权限的指定域主题，进入该主题的独立管理页
• 选择左侧「访问控制（IAM）」菜单，点击「添加角色分配」
• 角色选择刚创建的自定义发布者角色，主体选择需要授权的特定用户，确认保存即可

权限验证 #

配置完成后，被授权用户仅能向该指定域主题发布事件，访问同域下其他域主题时会返回403权限拒绝，符合你需要的细粒度权限控制需求。

内容的提问来源于stack exchange，提问作者Peasoon