问题描述
是一名开发人员，正在使用组织的Azure平台进行开发工作。平台团队为他分配了一个角色，允许他创建部署应用所需的资源。然而，由于安全风险的考虑，平台团队对RBAC分配进行了限制，因此他无法在不经过人工干预的情况下为托管标识创建角色，这就排除了动态环境等现代DevOps实践的可能性。
用户想知道在Azure上是否可以配置一个角色，使得像他这样的人能够配置与他创建的资源相关的有限角色，例如，他创建了一个容器应用和一个容器注册表，然后为该应用/注册表创建一个只有”pull”权限的托管标识。
用户还想知道是否存在一个不合理的高安全风险，而他没有意识到的。
解决方案
请注意以下操作注意版本差异及修改前做好备份。
方案1
在Azure上，可以通过使用Azure资源管理器（Azure Resource Manager，ARM）模板和Azure自定义角色来实现用户所需的RBAC权限限制。
以下是在Azure上配置一个组，只能在自己拥有的资源上分配有限的RBAC权限的步骤：
- 创建一个Azure资源管理器（ARM）模板，用于定义用户所需的自定义角色和权限。模板可以使用JSON格式编写，详细定义了角色的权限和资源范围。
- 在模板中，定义一个自定义角色，该角色只具有用户所需的有限权限，并且仅适用于用户自己创建的资源。可以使用Azure的内置角色作为参考，以确定所需的权限。
- 部署ARM模板，将自定义角色添加到用户所在的组中。这样，用户就可以在自己拥有的资源上分配有限的RBAC权限。
请注意，这种方法需要一些Azure资源管理器（ARM）模板和自定义角色的知识。如果用户不熟悉这些概念，可以参考Azure文档中关于ARM模板和自定义角色的详细说明。
方案2
如果用户没有足够的权限来创建自定义角色，可以与Azure平台团队沟通，解释他们的需求，并请求他们为用户提供相应的权限。
用户可以与Azure平台团队沟通，解释他们的需求，并请求他们为用户提供相应的权限。用户可以说明他们需要在自己拥有的资源上分配有限的RBAC权限，并解释这对他们的开发工作非常重要。通过与平台团队的沟通，用户可以了解到是否存在不合理的高安全风险，并找到解决方案。
请注意，这种方法需要与Azure平台团队的合作和沟通，以便获得所需的权限和解决方案。
总结
在Azure上，可以通过使用Azure资源管理器（ARM）模板和自定义角色，配置一个组只能在自己拥有的资源上分配有限的RBAC权限。用户可以创建一个自定义角色，该角色只具有用户所需的有限权限，并且仅适用于用户自己创建的资源。如果用户没有足够的权限来创建自定义角色，可以与Azure平台团队沟通，解释他们的需求，并请求他们为用户提供相应的权限。
请注意，用户应该与Azure平台团队合作，确保所做的任何更改都符合组织的安全策略和最佳实践。