Suscripciones y alcance

Un ámbito se puede fijar en cuatro niveles: grupo de administración, suscripción, grupo de recursos y recurso. Los niveles forman una jerarquía y los inferiores heredan lo que se asigna en los superiores. Una asignación hecha en un grupo de recursos alcanza a todos los recursos de ese grupo y a ninguno de otro grupo.

Para el respondedor esto responde la primera pregunta de cualquier cuenta sospechosa: qué podía alcanzar. No se contesta con el rol solo; se contesta con el rol y el ámbito juntos.

Cuando un grupo recibe un rol sobre una suscripción, cada miembro lo ejerce sobre todos los recursos que cuelgan de esa suscripción, también los de grupos de recursos que nadie le mencionó. Se cuenta recorriendo la jerarquía hacia abajo y sin salirse de la suscripción: lo de otra suscripción no cuenta.

Los permisos más acotados son los mejores. Un rol de datos asignado directamente sobre un recurso alcanza ese recurso y nada más. Para saber qué cuentas dependen de un recurso concreto se busca primero en las asignaciones del nivel más bajo, que son las que no se heredan de nadie.

Algunos roles solo permiten trabajar con los recursos; otros permiten además conceder roles a terceros. Contributor crea y cambia recursos, pero no asigna roles. Owner sí, y User Access Administrator también, sin tocar los recursos. En una investigación, una cuenta con capacidad de asignar roles puede ampliar el acceso de otras, y esa capacidad es lo que se anota primero en el informe.