Azure资源单个用户访问权限配置：AD账号登录与权限管控咨询

当然可以！这其实是Azure权限管理的核心场景之一，完全满足你提到的需求——给单个用户分配Storage Accounts、Azure SQL Server、Service Bus等资源的访问权限，支持Azure AD账号登录，还能精准配置只读、读写等权限限制。下面分模块给你说清楚：

一、通用权限框架：Azure RBAC #

Azure的基于角色的访问控制（RBAC）是统一的权限管理体系，你可以在订阅、资源组，甚至单个资源级别，给Azure AD用户直接分配权限：

• 内置角色覆盖了绝大多数常见需求：比如Storage Blob Data Reader（存储Blob只读）、SQL DB Contributor（SQL数据库读写）、Service Bus Data Sender（服务总线消息发送）等，直接就能用。
• 如果内置角色不够精细，还能创建自定义RBAC角色，精确控制用户能执行的操作（比如只允许查看Service Bus队列但不能修改配置）。

二、各资源的具体配置方式 #

1. 存储账户（Storage Accounts） #

优先用Azure AD身份验证替代访问密钥，更安全且便于管理：

• 给用户分配数据角色：Storage Blob Data Reader（只读访问Blob数据）或Storage Blob Data Contributor（读写Blob数据），也有针对文件存储、队列的对应角色。
• 用户登录时直接用自己的Azure AD账号，不管是Azure门户、Azure CLI还是SDK，都不需要存储账户的访问密钥，权限会自动生效。

2. Azure SQL Server #

完全支持Azure AD账号登录和细粒度权限：

• 第一步先在SQL Server上启用Azure AD身份验证，设置AD管理员。
• 然后在目标数据库中创建对应的AD用户，分配数据库级别角色：db_datareader（只读）、db_datawriter（只写）、db_ddladmin（管理数据库架构）等，甚至可以自定义数据库角色。
• 用户登录SQL Server时直接输入AD账号密码，或者用SSMS的AD身份验证方式，不需要单独的SQL账号。

3. Service Bus #

用RBAC数据角色就能实现精准权限控制：

• 只读需求：分配Service Bus Data Reader，用户可以查看队列、主题等资源，读取消息，但不能发送或修改配置。
• 读写需求：分配Service Bus Data Contributor，支持发送、接收消息，管理实体。
• 同样支持AD账号登录所有管理和操作入口，替代SAS令牌，权限统一由AD和RBAC管控。

三、几个关键提示 #

• 权限可以精准到单个资源：比如只给用户A分配某一个特定存储账户的Blob只读权限，其他存储账户或Azure资源用户A完全看不到。
• 配置方式灵活：可以在Azure门户可视化操作，也能用Azure CLI命令（比如az role assignment create）批量配置，或者用ARM模板做自动化部署。
• 优先用AD身份验证：相比访问密钥，AD身份验证能统一管理用户生命周期（比如员工离职时，直接在AD中禁用账号，用户自动失去所有资源权限），避免密钥泄露风险。

内容的提问来源于stack exchange，提问作者DevX