你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
了解如何管理对组织的建议和评审的访问权限。
角色和关联的访问权限
顾问使用 Azure 基于角色的访问控制 (Azure RBAC) 提供的内置角色。
查看以下部分，详细了解每个角色和关联的访问权限。
管理建议状态的角色
| 角色 | 查看建议 | 管理建议状态 |
|---|---|---|
| 顾问建议参与者（评估和评审） | X | X |
| 订阅读者 | X | |
| 订阅参与者 | X | X |
| 订阅所有者 | X | X |
| 资源组读取者 | X | |
| 资源组参与者 | X | X |
| 资源组所有者 | X | X |
| 资源读取者 | X | |
| 资源参与者 | X | X |
| 资源所有者 | X | X |
管理对顾问个性化或审查建议的访问权限的角色
| 角色 | 查看评论 | 查看评审建议 | 管理建议状态 |
|---|---|---|---|
| 顾问评论 读者/顾问评论 撰稿人 | X | ||
| 顾问建议参与者（评估和评审） | X | X | |
| 订阅读者 | X | X | |
| 订阅参与者 | X | X | X |
| 订阅所有者 | X | X | X |
| 资源读取者 | X | X | |
| 资源参与者 | X | X | X |
| 资源所有者 | X | X | X |
用于编辑规则和配置的角色
| 角色 | 编辑规则 | 编辑订阅配置 | 编辑资源组配置 |
|---|---|---|---|
| 订阅参与者 | X | X | X |
| 订阅所有者 | X | X | X |
| 资源组参与者 | X | ||
| 资源组所有者 | X |
注意
必须有权访问与建议关联的资源才能查看建议。
若要详细了解内置角色，请参阅 Azure 内置角色。 若要详细了解 Azure 基于角色的访问控制（Azure RBAC），请参阅 什么是 Azure 基于角色的访问控制（Azure RBAC）？。
查看和管理评估
用于查看和管理评估及关联的建议的角色
使用内置角色管理对顾问架构良好的框架 (WAF) 的访问权限。 权限因角色而异。
| 角色 | 详细信息 |
|---|---|
| 读者 | 查看订阅或工作负荷的评估以及关联的建议。 |
| 参与者 | 为订阅或工作负荷创建评估，并管理关联建议的生命周期。 |
注意
必须为相关订阅配置这些角色，以便创建评估并查看相应的建议。
用于生成自定义角色的可用操作
如果组织需要的角色与 Azure 内置角色不匹配，请创建自己的自定义角色。 自定义角色的工作方式类似于内置角色，你可以将其分配给管理组、订阅和资源组范围内的用户、组和服务主体。 使用以下操作创建自定义角色。
| 操作 | 详细信息 |
|---|---|
Microsoft.Advisor/recommendations/available/action |
显示可验证的操作 |
Microsoft./generateRecommendations/action |
创建建议 |
Microsoft./register/action |
向提供方注册 |
Microsoft./unregister/action |
从提供商处注销 |
Microsoft./Score/read |
获取顾问评分 |
Microsoft./configurations/read |
读取配置。 |
Microsoft.Advisor/configurations/write |
创建或更新配置 |
Microsoft.Advisor/generateRecommendations/read |
获取 generateRecommendations 操作的状态 |
Microsoft.Advisor/metadata/read |
读取元数据 |
Microsoft.Advisor/operations/read |
获取操作 |
Microsoft.Advisor/recommendations/read |
阅读建议 |
Microsoft.Advisor/recommendations/write |
创建建议。 |
Microsoft.Advisor/recommendations/available/action |
提供了新的建议。 |
Microsoft.Advisor/recommendations/suppressions/read |
查看抑制项 |
Microsoft.Advisor/recommendations/suppressions/write |
创建或更新抑制规则 |
Microsoft.Advisor/recommendations/suppressions/delete |
删除抑制 |
Microsoft.Advisor/suppressions/read |
查看抑制项 |
Microsoft.Advisor/suppressions/write |
创建或更新抑制规则 |
Microsoft.Advisor/suppressions/delete |
删除抑制 |
Microsoft.Advisor/assessmentTypes/read |
读取 AssessmentTypes |
Microsoft.Advisor/assessments/read |
读取评估 |
Microsoft.Advisor/assessments/write |
创建测评 |
Microsoft.Advisor/resiliencyReviews/read |
读取 resiliencyReviews |
Microsoft.Advisor/triageRecommendations/read |
读取 triageRecommendations |
Microsoft.Advisor/triageRecommendations/approve/action |
批准triageRecommendations |
Microsoft.Advisor/triageRecommendations/reject/action |
拒绝 triageRecommendations |
Microsoft.Advisor/triageRecommendations/reset/action |
重置 triageRecommendations |
Microsoft.Advisor/workloads/read |
读取工作负载 |
注意
例如，必须拥有对虚拟机 (VM) 的足够权限级别，才能查看与 VM 关联的建议。
若要了解有关自定义角色的详细信息，请参阅 Azure 自定义角色。
权限和不可用操作
如果权限级别过低，则会阻止对关联操作的访问。 请通过以下部分了解相关的常见问题。
配置订阅或资源组被阻止
尝试配置订阅或资源组时，用于进行包含或排除的选项将被阻止。 “被阻止”状态表示你对该资源组或订阅的权限级别不足。 若要了解如何更改权限级别，请参阅 教程：使用 Azure 门户授予用户对 Azure 资源的访问权限。
允许推迟或消除，但会发送错误
尝试推迟或消除建议时，会收到错误。 错误指示权限级别不足。 必须具有足够的权限级别才能消除建议。
提示
消除建议后，必须先手动重新激活该建议，然后才能将其添加到建议列表中。 如果消除建议，可能会错过优化 Azure 部署的重要建议。
要推迟或消除建议，请验证你对该建议关联的资源的权限级别是否设置为“参与者”或更高。 若要了解如何更改权限级别，请参阅 教程：使用 Azure 门户授予用户对 Azure 资源的访问权限。
相关内容
本文概述了顾问如何使用 Azure 基于角色的访问控制 (Azure RBAC) 来控制用户权限以及如何解决常见问题。 要了解有关顾问的详细信息，请参阅以下文章。