Azure 中订阅角色、Azure 角色和 Azure AD 角色的区别

近期在忙着 AZ 104 的认证，发现里面有些概念不是太清楚，有点模糊，下面摘抄官网的一些内容，帮大家梳理清楚这些角色之间的关系与不同。

如果你不熟悉 Azure，可能会发现，要理解 Azure 中的所有不同角色存在一定的难度。 本文将帮助解释以下角色，以及应在何时使用其中的每种角色：

• 经典订阅管理员角色
  • Account Administrator
  • Service Administrator
  • Co-Administrator
• Azure 角色
  • Owner
  • Contributor
  • Reader
  • User Access Administrator
• Azure Active Directory (Azure AD) 角色
  • Global Administrator
  • User Administrator
  • Billing Administrator

角色之间的相互关系

若要更好地理解 Azure 中的角色，最好是先了解一些历史信息。 Azure 最初发布时，对资源的访问权限只是通过以下三种管理员角色进行管理：帐户管理员、服务管理员和共同管理员。 稍后，添加了 Azure 基于角色的访问控制 (Azure RBAC)。 Azure RBAC 是一个较新的授权系统，它针对 Azure 资源提供精细的访问管理。 Azure RBAC 包括许多内置角色，可在不同的范围进行分配，并允许你创建自己的自定义角色。 若要管理 Azure AD 中的资源（例如用户、组和域），可以使用多种 Azure AD 角色。

下图从较高的层面显示了经典订阅管理员角色、Azure 角色与 Azure AD 角色之间的相互关系。

经典订阅管理员角色

帐户管理员、服务管理员和共同管理员是 Azure 中的三种经典订阅管理员角色。 经典订阅管理员对 Azure 订阅拥有完全访问权限。 他们可以使用 Azure 门户、Azure 资源管理器 API 和经典部署模型 API 来管理资源。 用于注册 Azure 的帐户会自动同时设置为帐户管理员和服务管理员。 然后，可以添加其他共同管理员。 服务管理员和共同管理员拥有在订阅范围内分配有“所有者”角色（一个 Azure 角色）的用户的等效访问权限。 下表描述了这三种经典订阅管理角色之间的差别。

经典订阅管理员	限制	权限	说明
帐户管理员	每个 Azure 帐户有 1 个	1. 访问 Azure 帐户中心<br>2. 管理帐户中的所有订阅<br>3. 创建新订阅<br/>4. 取消订阅<br/>5. 更改订阅的计费<br/>6. 更改服务管理员	在概念上是订阅的计费所有者。&l