如何为Azure VM批量授予同前缀存储账户指定环境容器的访问权限

采用自定义RBAC角色 + 用户分配托管标识 + Azure Policy 自动授权的组合方案，全程无需手动逐个配置存储账户权限，天然适配后续存储账户、VM的扩容场景。

步骤1：创建专属托管标识关联对应环境VM #

• 提前创建3个用户分配托管标识，可分别命名为 umi-storage-dev-access、umi-storage-test-access、umi-storage-prod-access
• 所有同环境VM直接绑定对应托管标识即可，后续新增同环境VM无需重复配置权限，绑定后自动继承对应标识的所有权限

步骤2：创建带权限边界的3个自定义RBAC角色 #

针对三类访问需求分别创建自定义角色，通过角色内置的属性条件严格限制权限范围，确保只能访问对应环境的容器：

• 基础权限按需选择：只读场景选「存储Blob数据读者」的权限集，需要读写权限选「存储Blob数据参与者」的权限集
• 给角色添加权限条件，以Dev环境角色为例，条件配置如下：

"condition": "((resource.type == 'Microsoft.Storage/storageAccounts/blobServices/containers') && (split(resource.name, '/')[0] =~ 'stinbound') && (split(resource.name, '/')[2] == 'dev'))",
"conditionVersion": "2.0"

• Test、Prod环境的角色仅需把上述条件里的dev替换为对应环境名即可
• 自定义角色的作用域设置为订阅级别，自动覆盖所有存量和后续新增的存储账户

步骤3：配置Azure Policy实现全自动化授权 #

配置带DeployIfNotExists效果的Azure Policy，实现存量存储账户批量授权、新增存储账户自动授权，完全免除人工操作：

• Policy的资源筛选规则：匹配所有名称以stinbound开头的存储账户资源
• Policy的部署规则：自动将3个自定义角色分别分配给对应环境的托管标识，作用域为当前匹配到的存储账户
• 开启策略的合规修正任务，一次性完成所有存量存储账户的权限批量配置

方案优势 #

• 零手动操作：后续新增符合命名规则的存储账户、同环境VM都无需人工调整权限，策略和托管标识会自动适配
• 权限边界严格：RBAC条件从底层限制了只能访问对应环境的容器，不会出现越权访问其他环境资源的问题
• 维护成本极低：所有配置仅需初始化一次，后续无需反复迭代调整

内容的提问来源于stack exchange，提问作者user2224038