你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn 。 访问此页面需要授权。 可以尝试 登录 或 更改目录 。 访问此页面需要授权。 可以尝试 更改目录 。 Azure 基于角色的访问控制（Azure RBAC） 是用于管理对 Azure 资源的访问的授权系统。 若要授予访问权限，请将角色分配给特定范围内的用户、组、服务主体或托管标识。 本文介绍如何使用 Azure 门户分配角色。 如果需要在 Microsoft Entra ID 中分配管理员角色，请参阅 向用户分配Microsoft Entra 角色 。 若要分配 Azure 角色，必须具有： Microsoft.Authorization/roleAssignments/write 权限，例如 基于角色的访问控制管理员 或 用户访问管理员 分配角色时，必须指定范围。 范围是访问所适用的资源集合。 在 Azure 中，可以在范围从宽到窄的四个级别指定范围： 管理组 、订阅、 资源组 和资源。 有关详细信息，请参阅 了解范围 。 在顶部的“搜索”框中，搜索要授予对其的访问权限的范围。 例如，搜索“管理组”、“订阅”、“资源组”或某个特定资源 。 在顶部的“搜索”框中，搜索要授予对其的访问权限的范围。 例如，搜索“管理组”、“订阅”、“资源组”或某个特定资源 。 单击该范围的特定资源。 下面展示了一个示例资源组。 步骤 2：打开“添加角色分配”页面 访问控制 (IAM) 是通常用于分配角色以授予对 Azure 资源的访问权限的页面 。 该功能也称为标识和访问管理 (IAM)，会显示在 Azure 门户中的多个位置。 单击“访问控制(IAM)” 。 下面显示了资源组的“访问控制(IAM)”页的示例。 单击“访问控制(IAM)” 。 下面显示了资源组的“访问控制(IAM)”页的示例。 单击“角色分配”选项卡以查看在此范围内的角色分配。 单击“角色分配”选项卡以查看在此范围内的角色分配。 单击 添加 > 添加角色分配 。 如果没有分配角色的权限，则将禁用“添加角色分配”选项。 随即打开“添加角色分配”窗格。 单击 添加 > 添加角色分配 。 如果没有分配角色的权限，则将禁用“添加角色分配”选项。 随即打开“添加角色分配”窗格。 在“ 角色 ”选项卡上，选择要分配的角色类型的选项卡。 作业功能角色 – 常规 Azure 资源管理的角色或特定服务的角色。 特权管理员角色 – 授予特权访问权限的角色，例如所有者、参与者、用户访问管理员或基于角色的访问控制管理员。 有关使用特权管理员角色分配的最佳做法，请参阅 Azure RBAC 最佳做法 。 在“ 角色 ”选项卡上，选择要分配的角色类型的选项卡。 作业功能角色 – 常规 Azure 资源管理的角色或特定服务的角色。 特权管理员角色 – 授予特权访问权限的角色，例如所有者、参与者、用户访问管理员或基于角色的访问控制管理员。 有关使用特权管理员角色分配的最佳做法，请参阅 Azure RBAC 最佳做法 。 在列表中点击以选择一个角色。 使用 “搜索 ”框按名称或说明筛选角色列表。 还可以按 类型 和 类别 筛选角色以缩小结果范围。 使用 “搜索 ”框按名称或说明筛选角色列表。 还可以按 类型 和 类别 筛选角色以缩小结果范围。 在“ 详细信息 ”列中，单击“ 视图 ”获取有关角色的更多详细信息。 小窍门 如果不确定要分配哪个角色，可以使用 Copilot 来帮助选择适当的角色。 在“ 角色 ”选项卡上，单击 “Copilot”可帮助选取角色 以打开 Copilot 对话框。 在对话框中，描述需要用户授权执行的操作。 例如， “帮助我选择一个角色来部署和管理 Azure Functions” 或 “如果希望用户管理和查看工作区，我应使用哪个角色？” Copilot 根据要求建议一个或多个角色。 单击 “选择权限 ”以确认，然后选择 角色 以应用建议，或单击“ 推荐其他角色 ”查看替代项。 在“ 详细信息 ”列中，单击“ 视图 ”获取有关角色的更多详细信息。 如果不确定要分配哪个角色，可以使用 Copilot 来帮助选择适当的角色。 在“ 角色 ”选项卡上，单击 “Copilot”可帮助选取角色 以打开 Copilot 对话框。 在对话框中，描述需要用户授权执行的操作。 例如， “帮助我选择一个角色来部署和管理 Azure Functions” 或 “如果希望用户管理和查看工作区，我应使用哪个角色？” Copilot 根据要求建议一个或多个角色。 单击 “选择权限 ”以确认，然后选择 角色 以应用建议，或单击“ 推荐其他角色 ”查看替代项。 步骤 4：选择需要访问权限的人员 要选择需要访问权限的人员，请执行以下步骤： 在“成员” 选项卡上，选择“用户、组或服务主体” ，将所选角色分配给一个或多个 Microsoft Entra 用户、组或服务主体（应用程序）。 在“成员” 选项卡上，选择“用户、组或服务主体” ，将所选角色分配给一个或多个 Microsoft Entra 用户、组或服务主体（应用程序）。 查找并选择用户、组或服务主体。 可以在“选择”框中键入，以在目录中搜索显示名称或电子邮件地址。 查找并选择用户、组或服务主体。 可以在“选择”框中键入，以在目录中搜索显示名称或电子邮件地址。 单击 “选择” ，将用户、组或服务主体添加到“成员”列表中。 单击 “选择” ，将用户、组或服务主体添加到“成员”列表中。 若要将所选角色分配给一个或多个托管标识，请选择“托管标识” 。 若要将所选角色分配给一个或多个托管标识，请选择“托管标识” 。 在“选择托管标识” 窗格中，选择该类型是 用户分配的托管标识 还是 系统分配的托管标识 。 在“选择托管标识” 窗格中，选择该类型是 用户分配的托管标识 还是 系统分配的托管标识 。 查找并选择托管标识。 对于系统分配的托管标识，你可以通过 Azure 服务实例选择托管标识。 对于系统分配的托管标识，你可以通过 Azure 服务实例选择托管标识。 单击 “选择” 将托管标识添加到“成员”列表。 单击 “选择” 将托管标识添加到“成员”列表。 在“说明”文本框中，输入此角色分配的可选说明。 稍后，可以在“角色分配”列表中显示此说明。

在“说明”文本框中，输入此角色分配的可选说明。 稍后，可以在“角色分配”列表中显示此说明。 如果选择了支持条件的角色，将显示“条件” 选项卡，可以选择将条件添加到角色分配中。 条件 是可选择性地添加到角色分配中的一项额外检查，可提供更精细的访问控制。 根据选择的角色，“条件”选项卡的外观会有所不同 。 如果选择了以下特权角色之一，请按照本部分中的步骤进行操作。 在“ 条件 ”选项卡上的“ 用户可以执行的作 ”下，选择 “允许用户仅将所选角色分配给所选主体”选项（权限更少）。 在“ 条件 ”选项卡上的“ 用户可以执行的作 ”下，选择 “允许用户仅将所选角色分配给所选主体”选项（权限更少）。 单击 “选择角色和主体 ”以添加约束此用户可向其分配角色的角色和主体的条件。 单击 “选择角色和主体 ”以添加约束此用户可向其分配角色的角色和主体的条件。 按照 将 Azure 角色分配管理委托给有条件的他人 中的步骤进行操作。 按照 将 Azure 角色分配管理委托给有条件的他人 中的步骤进行操作。 如果选择了以下之一的存储角色，请按照该部分的步骤进行操作。 如果要根据存储属性进一步优化角色分配，请单击“ 添加条件 ”。 如果要根据存储属性进一步优化角色分配，请单击“ 添加条件 ”。 按照 添加或编辑 Azure 角色分配条件 中的步骤进行。 按照 添加或编辑 Azure 角色分配条件 中的步骤进行。 如果你有 Microsoft Entra ID P2 或 Microsoft Entra ID 治理许可证，则会显示管理组、订阅和资源组范围的“分配类型”选项卡 。 使用符合条件的分配提供对角色的实时访问权限。 具有符合条件和/或有时间限制的分配的用户必须具有有效的许可证。 如果不想使用 PIM 功能，请选择“活动”分配类型和“永久”分配持续时间选项 。 这些设置创建一个角色分配，其中主体在角色中始终具有权限。 此功能正在分阶段部署，因此它可能在你的租户中尚不可用，或者你的界面可能看起来有所不同。 有关详细信息，请参阅 Azure RBAC 中的合格角色分配和限时角色分配 。 在“分配类型”选项卡上，选择“分配类型” 。 符合条件 - 用户必须执行一项或多项操作才能使用该角色，例如执行多重身份验证检查、提供业务理由或请求指定审批人的批准。 无法为应用程序、服务主体或托管标识创建符合条件的角色分配，因为它们无法执行激活步骤。 活动 - 用户无需执行任何作才能使用该角色。 在“分配类型”选项卡上，选择“分配类型” 。 符合条件 - 用户必须执行一项或多项操作才能使用该角色，例如执行多重身份验证检查、提供业务理由或请求指定审批人的批准。 无法为应用程序、服务主体或托管标识创建符合条件的角色分配，因为它们无法执行激活步骤。 活动 - 用户无需执行任何作才能使用该角色。 根据设置，对于 工作分配持续时间 ，请选择 “永久 ”或 “时间限制 ”。 如果希望始终允许成员激活或使用角色，请选择“永久”。 选择“限时”以指定开始日期和结束日期。 如果 PIM 策略不允许创建永久分配，则可能会禁用此选项。 根据设置，对于 工作分配持续时间 ，请选择 “永久 ”或 “时间限制 ”。 如果希望始终允许成员激活或使用角色，请选择“永久”。 选择“限时”以指定开始日期和结束日期。 如果 PIM 策略不允许创建永久分配，则可能会禁用此选项。 如果选择了“显示”，则设置“开始日期和时间”和“结束日期和时间”，以指定何时允许用户激活或使用角色 。 可以将开始日期设置为未来的某个日期。 允许的最长有效期限取决于 Privileged Identity Management (PIM) 策略。 如果选择了“显示”，则设置“开始日期和时间”和“结束日期和时间”，以指定何时允许用户激活或使用角色 。 可以将开始日期设置为未来的某个日期。 允许的最长有效期限取决于 Privileged Identity Management (PIM) 策略。 （可选）使用“配置 PIM 策略”配置过期选项、角色激活要求（批准、多重身份验证或条件访问身份验证上下文）和其他设置 。 选择“更新 PIM 策略”链接后，将显示 PIM 页面 。 选择“设置”来配置角色的 PIM 策略 。 有关详细信息，请参阅 在 Privileged Identity Management 中配置 Azure 资源角色设置 。 （可选）使用“配置 PIM 策略”配置过期选项、角色激活要求（批准、多重身份验证或条件访问身份验证上下文）和其他设置 。 选择“更新 PIM 策略”链接后，将显示 PIM 页面 。 选择“设置”来配置角色的 PIM 策略 。 有关详细信息，请参阅 在 Privileged Identity Management 中配置 Azure 资源角色设置 。 在“查看 + 分配” 选项卡上，查看角色分配设置。 在“查看 + 分配” 选项卡上，查看角色分配设置。 单击“ 查看 + 分配 ”以分配角色。 片刻之后，会在所选范围内为安全主体分配角色。 单击“ 查看 + 分配 ”以分配角色。 片刻之后，会在所选范围内为安全主体分配角色。 如果未看到角色分配的说明，请单击 “编辑列 ”以添加 “说明 ”列。 如果未看到角色分配的说明，请单击 “编辑列 ”以添加 “说明 ”列。 如果你拥有 Microsoft Entra ID P2 或 Microsoft Entra ID Governance 许可证，则可以编辑角色分配类型设置。 有关详细信息，请参阅 Azure RBAC 中的合格角色分配和限时角色分配 。 在 “访问控制”（IAM） 页上，单击“ 角色分配 ”选项卡以查看此范围的角色分配。 在 “访问控制”（IAM） 页上，单击“ 角色分配 ”选项卡以查看此范围的角色分配。 在 “状态 ”列中，单击链接，例如 “符合条件的时间限制 ”或 “活动永久 ”。 “编辑分配”窗格随即显示，可在其中更新角色分配类型设置 。 窗格可能需要一些时间才能打开。 在 “状态 ”列中，单击链接，例如 “符合条件的时间限制 ”或 “活动永久 ”。 “编辑分配”窗格随即显示，可在其中更新角色分配类型设置 。 窗格可能需要一些时间才能打开。 完成后，单击“保存” 。 系统可能需要一段时间才能处理更新并将其反映在门户中。 系统可能需要一段时间才能处理更新并将其反映在门户中。 将用户分配为 Azure 订阅的管理员 排查 Azure RBAC 问题 想要尝试使用 Ask Learn 阐明或指导你完成本主题？ Last updated on 2026-03-18