Owner + Cost Management Contributor

Detalhe da regra SoD — cinco plataformas, três provedores

HighAzure RBAC

Owner + Cost Management Contributor

Controle total dos recursos de uma subscription somado ao controle de orçamentos e configuração de custos dessa mesma subscription.

Azure RBACbuilt-in role
Owner
Azure RBACbuilt-in role
Cost Management Contributor

Por que isso é um conflito

Cost Management Contributor permite configurar budgets, alertas de gasto e exports de custo — controles pensados para dar visibilidade financeira independente sobre o consumo de recursos. Se a mesma identidade também é Owner (pode provisionar qualquer recurso), ela pode desativar/ajustar alertas de orçamento antes de provisionar recursos caros sem que a área financeira perceba a tempo.

Risco

Provisionamento de recursos de alto custo (ex.: VMs GPU, serviços premium) com supressão simultânea dos alertas de budget que deveriam sinalizar o gasto anômalo.

Como mitigar

  • Segregar controle de orçamento/custos (FinOps) do time de provisionamento de infraestrutura.
  • Configurar budgets com Action Groups que notificam um time financeiro independente, não editável pelo Owner de recursos.
  • Revisar mensalmente alterações em configurações de budget/alerta versus picos de gasto.

Frameworks aplicáveis

SOXISO 27001