资源组中的 Azure 角色分配不会传递到服务级别

Question

我在Azure中创建Key Vault后，无法添加秘密值，并且有警告说“RBAC不允许该操作。如果最近更改了角色分配，请等待几分钟以使角色分配生效。”。

我认为错误是说我的用户没有正确的角色权限。因此，我进入 Azure 订阅级别，单击左侧面板上的 Access Control(IAM) 选项卡，为用户分配 Key Vault Admin 角色，尝试再次添加机密，但出现相同的错误。然后我进入资源组级别，单击左侧面板上的 Access Control(IAM) 选项卡，为用户分配 Key Vault Admin 角色，仍然收到相同的错误。

然后我进入密钥保管库页面，单击左侧面板上的访问控制（IAM）选项卡，为用户分配密钥保管库管理员角色，现在我可以正确添加秘密值。

所以我的问题是，由于我的密钥保管库位于此资源组和此订阅中，为什么当我在上层创建和分配用户角色时，角色权限不会传递到单个服务级别。

Answer 1

为什么当我在上层创建并分配用户角色时，角色权限不会向下传递到单个服务级别。

角色权限将从更高范围传递或继承到个人服务级别，但需要一些时间来反映更改。

最初，我创建了一个密钥保管库，但在没有适当的 RBAC 角色的情况下添加新密钥时遇到了相同的错误：

要解决该错误，您可以在任何范围（例如订阅、资源组或 Key Vault 级别）向登录用户分配 Key Vault 管理员 角色。但根据选定的范围，生效会有延迟。

就我而言，我将 Key Vault Administrator 角色分配给订阅级别的登录用户：

当我现在尝试创建秘密时，它有效，但需要等待几分钟并刷新页面以反映更改：

在您的情况下，在密钥保管库级别分配角色是有效的，因为与其他范围（订阅、资源组）相比，它需要更少的时间来反映更改。

参考：

Azure Key Vault 基于角色的访问控制 |微软学习