Как администратор службы получает достаточное разрешение на создание лазурных пользовательских ролей

Question

Я пытаюсь создать Custom Role в лазури (RBAC). Но когда я выполняю команду powershell New-AzureRmRoleDefinition, вот сообщение, которое я получаю, говорю, что я не уполномочен создавать его.

> New-AzureRmRoleDefinition .\developer_access_rbac.json 


New-AzureRmRoleDefinition : AuthorizationFailed: The client 'admin@company.com' with object id 
'{guid}' does not have authorization to perform action 
'Microsoft.Authorization/roleDefinitions/write' over scope 
'/providers/Microsoft.Authorization/roleDefinitions/{guid}'. 
At line:1 char:1 
+ New-AzureRmRoleDefinition .\developer_access_rbac.json 
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ 
    + CategoryInfo   : CloseError: (:) [New-AzureRmRoleDefinition], CloudException 
    + FullyQualifiedErrorId : Microsoft.Azure.Commands.Resources.NewAzureRoleDefinitionCommand 

Я спросил у одного из наших администраторов в нашей организации, и он говорит, что учетная запись admin@company.com уже Global Administrator. А в активном каталоге admin@company.com отображается как администратор службы.

Я немного смущен этими уровнями разрешения в лазурном режиме. Может кто-нибудь объяснить мне, как получить необходимое разрешение на счет admin@company.com для решения проблемы.

Answer 1

Взятые из https://azure.microsoft.com/en-us/documentation/articles/role-based-access-control-custom-roles/#custom-roles-access-control:

Кто может создать пользовательскую роль? Владельцы (и администраторы пользовательского доступа) подписки, групп ресурсов и ресурсов могут создавать собственные роли для использования в этих областях. Пользователь, создающий роль, должен иметь возможность выполнять операцию Microsoft.Authorization/roleDefinition/write во всех AssignableScopes этой роли.

Кто может изменить пользовательскую роль? Владельцы (и администраторы пользовательского доступа) подписки, групп ресурсов и ресурсов могут изменять собственные роли в этих областях. Пользователи должны иметь возможность выполнять операцию Microsoft.Authorization/roleDefinition/write во всех AssignableScopes настраиваемой роли.

Кто может просматривать пользовательские роли? Все встроенные роли в Azure RBAC позволяют просматривать роли, доступные для назначения. Пользователи, которые могут выполнять операцию Microsoft.Authorization/roleDefinition/read в области видимости, могут просматривать роли RBAC, доступные для назначения в этой области.

Answer 2

Я на самом деле столкнулся с этой же проблемой и обнаружил, что ошибка вводит в заблуждение.

Мне пришлось очистить назначаемые области, а затем добавить один обратно.

$role.AssignableScopes.Clear() 
$role.AssignableScopes.Add("/subscriptions/12345678912345789123456789")