Azure Enterprise Admin与Global Admin区别及企业协议相关问题咨询

1. 企业协议（Enterprise Agreement, EA）的属性与Active Directory关联规则 #

EA不属于订阅，它是企业与微软签署的批量采购合约，本质是计费、资源配额管理的顶层容器，单个EA下可挂载多个Azure订阅。
EA默认绑定单个Azure Active Directory（Azure AD）租户做身份校验，也可通过官方流程调整关联的AD租户，调整完成后EA下所有订阅会统一继承新AD租户的IAM控制规则。

2. 企业架构下多Active Directory部署规则 #

企业可根据需求部署多个独立的Azure AD租户，所有租户底层逻辑完全隔离，租户内的用户、应用、权限配置默认不会跨租户同步，哪怕多个租户同属一个EA也不会默认互通。
如果需要实现跨租户协作，需额外配置B2B互信、租户联合登录等能力，未配置的前提下各AD租户完全独立、互不影响。

3. Enterprise Admin、Account Owner、Global Admin三者核心区别 #

• Global Admin（全局管理员）：Azure AD租户层面的最高权限角色，权限覆盖整个AD租户的身份配置、应用注册、租户级策略设置，同时默认具备接管租户下所有Azure订阅访问权限的能力。
• Enterprise Admin（企业协议管理员）：仅在签署了EA的场景下存在，属于EA协议层级的管理角色，权限聚焦在EA的账单管理、订阅创建/分配、企业级支出策略设置，没有默认权限直接操作订阅内的资源（例如删除虚拟机、修改云函数配置），也不能直接修改AD租户的身份配置。
• Account Owner（账户所有者）：单个Azure订阅层面的管理角色，对所属订阅内的所有资源具备完全控制权限，可给其他用户分配订阅内的IAM角色、接收订阅账单告警，但无权修改EA层面的计费规则，也无权修改AD租户的全局配置。

内容的提问来源于stack exchange，提问作者Timothy Leung