%20%E3%83%AD%E3%83%BC%E3%83%AB%20-%20%E3%83%AA%E3%83%BC%E3%83%80%E3%83%BC%E3%81%A8%E3%83%AA%E3%82%BD%E3%83%BC%E3%82%B9%E5%9B%BA%E6%9C%89%E3%81%AE%E3%83%AA%E3%83%BC%E3%83%80%E3%83%BC.png)
ドキュメントから非常に明確にわかるので、ここで質問したいのですが、Azure IAM リーダー ロールには、リソース タイプ固有のリーダー ロールがすべて含まれているのでしょうか、それともまったく含まれていないのでしょうか。たとえば、Log Analytics ワークスペースなどのリソースを取得する場合、リーダーと Log Analytics ワークスペース リーダーの両方を割り当てることができます。ドキュメント/Azure ポータル UI で提供されるロールの説明は次のとおりです。
読者- 閲覧者ロールでは、Automation アカウント内のすべてのリソースを表示できますが、変更することはできません。
ログ分析リーダー- Log Analytics リーダー ロールでは、すべての監視データを表示および検索できるほか、監視設定も表示できます。これには、すべての Azure リソースに対する Azure 診断の構成の表示が含まれます。
これらの説明を見ると、Log Analytics ワークスペースのアクセス許可に関して、Log Analytics 閲覧者を、閲覧者ロールの割り当てによって付与されるロール/サブセットのより狭い範囲のロールとして考えることができるかどうかは、あまり明確ではありません。
答え1
各組み込みロールのロール定義は、提供されるコンポーネント権限に基づいて、必要なロールを正確に識別するのに役立ちます。
https://docs.microsoft.com/en-us/azure/ロールベースのアクセス制御/組み込みロール#リーダー
https://docs.microsoft.com/en-us/azure/role-based-access-control/built-in-roles#log-analytics-reader