Herança, permissões e remediação

Concessões e exclusões

Azure RBAC soma concessões aplicáveis. NotActions retira operações de uma definição de função; não é uma negação global contra permissões dadas por outra função. Uma deny assignment aplicável é um mecanismo diferente.

Por isso, uma retirada de acesso exige inventariar atribuições diretas, grupos e herança. Acrescentar Reader não restringe Contributor. Depois de ajustar as concessões, confirma a operação necessária e uma operação que deve ser recusada.

Âmbito não substitui ações

Uma função combina operações com âmbito. Atribuir VM Contributor num management group permite administrar VMs descendentes conforme a definição, mas não transforma a função em administração universal da hierarquia. Ao mover uma subscrição entre management groups, compara ascendências, Policies e RBAC herdados.

IDs de recursos estáveis não demonstram que os controlos de criação, alteração e recuperação permanecem iguais. Prepara a equipa que vai receber a responsabilidade operacional.

Identidade que efetua a correção

Uma avaliação de Policy pode identificar não conformidade sem corrigir recursos existentes. Modify e deployIfNotExists usam a identidade da atribuição para remediação. Atribuições criadas por SDK precisam das concessões apropriadas; permissões do operador que lê o relatório não substituem permissões dessa identidade.

Alterar roleDefinitionIds na definição também não prova atualização automática das concessões de identidades já existentes. Revê as ações mínimas e confirma o resultado no recurso.

Tags e exercício de mudança

Tags de um grupo ou subscrição não são automaticamente copiadas para cada recurso. Define aplicação, remediação e consulta coerentes com o inventário. Como tags podem aparecer em APIs e relatórios, não guardes nelas chaves de API.

No exercício, uma migração muda a hierarquia e a equipa de suporte. Produz uma lista de permissões herdadas, Policies que podem impedir pedidos futuros, tags em falta e resultados esperados de remediação. Não aproves a mudança apenas porque o número de recursos ficou igual.

Armadilhas comuns

Evita tratar NotActions como deny global, permissões do operador como permissões do runner e tags do grupo como tags herdadas.