azure-rbac

Azure 基于角色的访问控制技能

此技能为 Azure 基于角色的访问控制提供专业指导，涵盖故障排除、最佳实践、决策制定、限制与配额、安全性、配置以及集成与编码模式。它结合了本地快速参考内容与远程文档获取功能。

如何使用此技能

对 Agent 的重要提示：使用下方的类别索引查找相关章节。对于带有行范围的类别（例如 L35-L120），请使用 read_file 读取指定行。对于带有文件链接的类别（例如 [security.md](security.md)），请使用 read_file 读取链接的参考文件

对 Agent 的重要提示：如果 metadata.generated_at 超过 3 个月，请建议用户从仓库拉取最新版本。如果无法使用 mcp_microsoftdocs 工具，请建议用户安装该工具：安装指南

此技能需要网络访问权限以获取文档内容：

• 首选：使用 mcp_microsoftdocs:microsoft_docs_fetch，查询字符串为 from=learn-agent-skill。返回 Markdown。
• 备用：使用 fetch_webpage，查询字符串为 from=learn-agent-skill&accept=text/markdown。返回 Markdown。

类别索引

类别	行	描述
故障排除	L35-L43	诊断和修复 Azure RBAC 问题：审计角色更改、解决角色/自定义角色限制，以及排查角色分配条件和常见访问问题。
最佳实践	L44-L50	以安全为重点的 Azure RBAC 设计指南：选择范围、使用 ABAC 条件委派访问权限，以及应用最小特权和职责分离最佳实践。
决策制定	L51-L55	选择和迁移角色模型的指南：从经典管理员迁移到 RBAC、使用 ABAC 扩展、选择 Azure、Entra 或经典角色，以及在目录之间转移订阅。
限制与配额	L56-L61	设计和管理 Azure RBAC 自定义角色，包括了解角色结构和权限，以及使用 Azure 门户逐步创建角色
安全性	L62-L130	与安全相关的资源的 Azure RBAC 角色定义、权限和条件，包括特权角色、拒绝分配、ABAC、PIM、策略，以及安全的订阅/租户管理。
配置	L131-L141	配置 Azure RBAC/ABAC：先决条件、条件语法、角色分配、内置角色与自定义角色，以及通过 CLI 和 PowerShell 创建/检查自定义角色定义
集成与编码模式	L142-L156	如何使用 CLI、PowerShell、门户、REST、ARM/Bicep 模板分配、列出和查询 Azure RBAC 角色分配，包括托管标识和基于组的访问权限。

故障排除

主题	URL
使用 Activity Log 审计 Azure RBAC 更改	https://learn.microsoft.com/en-us/azure/role-based-access-control/change-history-report
解决 Azure RBAC 条件的常见问题	https://learn.microsoft.com/en-us/azure/role-based-access-control/conditions-faq
诊断并修复 Azure 角色分配条件问题	https://learn.microsoft.com/en-us/azure/role-based-access-control/conditions-troubleshoot
解决 Azure RBAC 角色和自定义角色限制问题	https://learn.microsoft.com/en-us/azure/role-based-access-control/troubleshoot-limits
诊断并解决常见 Azure RBAC 问题	https://learn.microsoft.com/en-us/azure/role-based-access-control/troubleshooting

最佳实践

主题	URL
应用以安全为重点的 Azure RBAC 最佳实践	https://learn.microsoft.com/en-us/azure/role-based-access-control/best-practices
使用 ABAC 条件委派 RBAC 的示例模式	https://learn.microsoft.com/en-us/azure/role-based-access-control/delegate-role-assignments-examples
为访问选择合适的 Azure RBAC 范围	https://learn.microsoft.com/en-us/azure/role-based-access-control/scope-overview

决策

主题	URL
使用 ABAC 和属性扩展 Azure RBAC 分配	https://learn.microsoft.com/en-us/azure/role-based-access-control/conditions-custom-security-attributes-example

限制和配额

主题	URL
了解并配置 Azure RBAC 自定义角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/custom-roles
在门户中创建 Azure 自定义角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/custom-roles-portal

安全性

主题	URL
使用 Azure 内置 RBAC 角色和权限	https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles
使用 AI 和机器学习 Azure RBAC 角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles/ai-machine-learning
使用分析类 Azure RBAC 内置角色和权限	https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles/analytics
应用计算相关的 Azure RBAC 内置角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles/compute
使用容器相关的 Azure RBAC 内置角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles/containers
使用数据库 Azure RBAC 内置角色和范围	https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles/databases
使用 DevOps Azure RBAC 内置角色和权限	https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles/devops
使用通用 Azure RBAC 内置角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles/general
在 Azure 中使用混合云和多云 RBAC 角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles/hybrid-multicloud
使用身份 Azure RBAC 内置角色和范围	https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles/identity
使用集成 Azure RBAC 内置角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles/integration
使用 IoT Azure RBAC 内置角色和权限	https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles/internet-of-things
在 Azure 中应用管理和治理 RBAC 角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles/management-and-governance
在迁移场景中使用 Azure RBAC 内置角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles/migration
分配 Azure Monitor 内置 RBAC 角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles/monitor
应用网络 Azure RBAC 内置角色和范围	https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles/networking
使用特权 Azure RBAC 内置角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles/privileged
使用安全类别 Azure RBAC 内置角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles/security
使用存储 Azure RBAC 内置角色和权限	https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles/storage
使用 Web 和移动 Azure RBAC 内置角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles/web-and-mobile
在 Azure ABAC 中使用授权操作和属性	https://learn.microsoft.com/en-us/azure/role-based-access-control/conditions-authorization-actions-attributes
使用标记和 ABAC 限制 Blob 读取访问	https://learn.microsoft.com/en-us/azure/role-based-access-control/conditions-custom-security-attributes
使用 Azure CLI 管理 Azure RBAC 条件	https://learn.microsoft.com/en-us/azure/role-based-access-control/conditions-role-assignments-cli
在门户中配置 Azure RBAC 角色分配条件	https://learn.microsoft.com/en-us/azure/role-based-access-control/conditions-role-assignments-portal
使用 PowerShell 管理 Azure RBAC 条件	https://learn.microsoft.com/en-us/azure/role-based-access-control/conditions-role-assignments-powershell
通过 REST API 管理 Azure RBAC 条件	https://learn.microsoft.com/en-us/azure/role-based-access-control/conditions-role-assignments-rest
在 ARM 模板中定义 Azure RBAC 条件	https://learn.microsoft.com/en-us/azure/role-based-access-control/conditions-role-assignments-template
使用 Bicep 定义 Azure 自定义角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/custom-roles-bicep
使用 Azure CLI 管理 Azure 自定义角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/custom-roles-cli
使用 PowerShell 管理 Azure 自定义角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/custom-roles-powershell
通过 REST API 管理 Azure 自定义角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/custom-roles-rest
使用 ARM 模板定义 Azure 自定义角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/custom-roles-template
使用 ABAC 条件委派 Azure 角色分配	https://learn.microsoft.com/en-us/azure/role-based-access-control/delegate-role-assignments-portal
列出和管理 Azure RBAC 拒绝分配	https://learn.microsoft.com/en-us/azure/role-based-access-control/deny-assignments
将全局管理员访问权限提升至所有订阅	https://learn.microsoft.com/en-us/azure/role-based-access-control/elevate-access-global-admin
配置 Azure RBAC 的 AI 和 ML 权限	https://learn.microsoft.com/en-us/azure/role-based-access-control/permissions/ai-machine-learning
配置 Azure RBAC 角色的分析权限	https://learn.microsoft.com/en-us/azure/role-based-access-control/permissions/analytics
配置 Azure RBAC 角色的计算权限	https://learn.microsoft.com/en-us/azure/role-based-access-control/permissions/compute
配置 Azure RBAC 角色的容器权限	https://learn.microsoft.com/en-us/azure/role-based-access-control/permissions/containers
配置 Azure RBAC 角色的数据库权限	https://learn.microsoft.com/en-us/azure/role-based-access-control/permissions/databases
配置 Azure RBAC 角色的 DevOps 权限	https://learn.microsoft.com/en-us/azure/role-based-access-control/permissions/devops
使用通用类别 Azure RBAC 权限字符串	https://learn.microsoft.com/en-us/azure/role-based-access-control/permissions/general
配置混合云和多云 RBAC 权限	https://learn.microsoft.com/en-us/azure/role-based-access-control/permissions/hybrid-multicloud
配置 Azure RBAC 角色的身份权限	https://learn.microsoft.com/en-us/azure/role-based-access-control/permissions/identity
配置 Azure RBAC 角色的集成权限	https://learn.microsoft.com/en-us/azure/role-based-access-control/permissions/integration
配置 Azure RBAC 角色的 IoT 权限	https://learn.microsoft.com/en-us/azure/role-based-access-control/permissions/internet-of-things
配置管理和治理 RBAC 权限	https://learn.microsoft.com/en-us/azure/role-based-access-control/permissions/management-and-governance
配置 Azure RBAC 角色的迁移权限	https://learn.microsoft.com/en-us/azure/role-based-access-control/permissions/migration
配置 Azure RBAC 角色的监视权限	https://learn.microsoft.com/en-us/azure/role-based-access-control/permissions/monitor
配置 Azure RBAC 角色的网络权限	https://learn.microsoft.com/en-us/azure/role-based-access-control/permissions/networking
配置 Azure RBAC 的安全类别权限	https://learn.microsoft.com/en-us/azure/role-based-access-control/permissions/security
配置 Azure RBAC 角色的存储权限	https://learn.microsoft.com/en-us/azure/role-based-access-control/permissions/storage
配置 Azure RBAC 的 Web 和移动权限	https://learn.microsoft.com/en-us/azure/role-based-access-control/permissions/web-and-mobile
使用 PIM 管理符合条件且有时限的 Azure RBAC 角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/pim-integration
应用 Azure RBAC 的内置 Azure Policy 定义	https://learn.microsoft.com/en-us/azure/role-based-access-control/policy-reference
在 Azure RBAC、Entra 和经典管理员角色之间进行选择	https://learn.microsoft.com/en-us/azure/role-based-access-control/rbac-and-directory-admin-roles
参考 Azure 资源提供程序 RBAC 权限	https://learn.microsoft.com/en-us/azure/role-based-access-control/resource-provider-operations
对特权 Azure RBAC 角色分配发出警报	https://learn.microsoft.com/en-us/azure/role-based-access-control/role-assignments-alert
在门户中激活符合条件的 Azure RBAC 角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/role-assignments-eligible-activate
为外部 B2B 用户分配 Azure RBAC 角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/role-assignments-external-users
在门户中列出 Azure RBAC 角色分配	https://learn.microsoft.com/en-us/azure/role-based-access-control/role-assignments-list-portal
在 Azure 门户中分配 Azure RBAC 角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/role-assignments-portal
使用受限 RBAC 条件分配订阅所有者角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/role-assignments-portal-subscription-admin
将 Azure Policy 合规性控制应用于 Azure RBAC	https://learn.microsoft.com/en-us/azure/role-based-access-control/security-controls-policy
在 Entra 目录之间安全转移 Azure 订阅	https://learn.microsoft.com/en-us/azure/role-based-access-control/transfer-subscription

配置

主题	URL
编写 Azure RBAC 条件表达式和语法	https://learn.microsoft.com/en-us/azure/role-based-access-control/conditions-format
满足使用 Azure RBAC 条件的先决条件	https://learn.microsoft.com/en-us/azure/role-based-access-control/conditions-prerequisites
配置和解读 Azure RBAC 角色分配	https://learn.microsoft.com/en-us/azure/role-based-access-control/role-assignments
了解并配置 Azure RBAC 角色定义	https://learn.microsoft.com/en-us/azure/role-based-access-control/role-definitions
列出并检查 Azure 内置和自定义 RBAC 角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/role-definitions-list
使用 Azure CLI 创建 Azure 自定义 RBAC 角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/tutorial-custom-role-cli
使用 PowerShell 定义 Azure 自定义 RBAC 角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/tutorial-custom-role-powershell

集成与编码模式

主题	URL
使用 Bicep 模板分配 Azure RBAC 角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/quickstart-role-assignments-bicep
使用 ARM 模板分配 Azure RBAC 角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/quickstart-role-assignments-template
使用 Azure CLI 分配 Azure RBAC 角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/role-assignments-cli
通过 Azure CLI 列出 Azure RBAC 角色分配	https://learn.microsoft.com/en-us/azure/role-based-access-control/role-assignments-list-cli
使用 PowerShell 列出 Azure RBAC 角色分配	https://learn.microsoft.com/en-us/azure/role-based-access-control/role-assignments-list-powershell
使用 REST API 查询 Azure RBAC 角色分配	https://learn.microsoft.com/en-us/azure/role-based-access-control/role-assignments-list-rest
从托管标识开始分配 Azure RBAC 角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/role-assignments-portal-managed-identity
使用 PowerShell 为所有主体分配 Azure RBAC 角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/role-assignments-powershell
通过 REST API 分配 Azure RBAC 角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/role-assignments-rest
使用 ARM 模板分配 Azure RBAC 角色	https://learn.microsoft.com/en-us/azure/role-based-access-control/role-assignments-template
使用 PowerShell 授予基于组的 Azure RBAC 访问权限	https://learn.microsoft.com/en-us/azure/role-based-access-control/tutorial-role-assignments-group-powershell
使用 PowerShell 命令授予 Azure RBAC 访问权限	https://learn.microsoft.com/en-us/azure/role-based-access-control/tutorial-role-assignments-user-powershell