Owner + Role Based Access Control Administrator

Role Based Access Control Administrator foi criada como uma alternativa mais restrita a User Access Administrator (permite gerenciar apenas atribuições de role via Azure RBAC, sem outras formas de gestão de acesso como Blueprints). Ainda assim, somada a Owner, recria o mesmo problema de concentração: uma única identidade decide o que existe E quem pode acessar o que existe.

Mesmo risco de escalonamento de privilégio self-service do par Owner + User Access Administrator, com a única diferença sendo o escopo ligeiramente mais restrito da segunda role.

• Escolher apenas uma das duas roles conforme a necessidade real (gestão de recursos vs. gestão de acesso), nunca ambas.
• Aplicar PIM com aprovação de terceiros para ativação de qualquer uma das roles.
• Auditar atribuições de role feitas por identidades que também são Owner do mesmo escopo.

• https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles