CriticalAzure RBAC
Owner + User Access Administrator
Controle total de recursos somado à capacidade de atribuir permissões a si mesmo e a outros — combinação que praticamente elimina qualquer limite de RBAC.
Azure RBACbuilt-in role
Owner Azure RBACbuilt-in role
User Access Administrator Por que isso é um conflito
Owner já inclui a capacidade de atribuir roles (User Access Administrator é, na prática, um subconjunto de Owner). Atribuir explicitamente as duas juntas normalmente indica erro de governança de RBAC e reforça visualmente a ausência de qualquer segregação entre controle de recursos e controle de acesso.
Risco
Nenhuma segregação real entre "quem usa recursos" e "quem decide quem pode usar recursos" — vetor clássico de escalonamento de privilégio e de dificuldade de rastreamento de responsabilidade.
Como mitigar
- Atribuir apenas Owner OU User Access Administrator + Contributor separadamente, nunca as duas de forma redundante.
- Usar PIM para Azure Resources com ativação just-in-time e aprovação para qualquer uma das duas roles.
- Revisar Access Reviews trimestrais para identidades com Owner permanente.
Frameworks aplicáveis
SOXISO 27001NIST CSFCIS
Roles relacionados
Global Administrator + OwnerCriticalOwner + Cost Management ContributorHighOwner + Billing ReaderMediumOwner + Role Based Access Control AdministratorCriticalOwner + App Compliance Automation AdministratorMediumOwner + Automation ContributorMediumOwner + Resource Policy ContributorMediumHybrid Identity Administrator + OwnerHighReservations Administrator + OwnerMediumPrivileged Role Administrator + User Access AdministratorCriticalCost Management Contributor + User Access AdministratorHighContributor + User Access AdministratorHighKey Vault Administrator + User Access AdministratorCriticalUser Access Administrator + Security AdminCriticalAutomation Contributor + User Access AdministratorHighKey Vault Secrets Officer + User Access AdministratorCriticalKey Vault Crypto Officer + User Access AdministratorCriticalReader + User Access AdministratorLowIdentity Governance Administrator + User Access AdministratorMediumManaged Identity Contributor + User Access AdministratorHighDevCenter Owner + User Access AdministratorMediumAgent ID Administrator + User Access AdministratorCritical