Reservations Administrator + Owner

Reservations Administrator gerencia reservas de capacidade e compromissos de gasto (Reserved Instances, Savings Plans) em nível de diretório, normalmente reservado a times de FinOps; Owner concede controle técnico total sobre assinaturas e recursos. A combinação permite que uma mesma identidade tanto provisione recursos quanto manipule os compromissos financeiros associados a eles, sem revisão independente.

Compra, troca ou cancelamento indevido de reservas de capacidade de alto valor financeiro por uma identidade que também controla tecnicamente os recursos que consomem essas reservas, dificultando a detecção de desalinhamento entre uso técnico e gasto comprometido.

• Restringir Reservations Administrator a um grupo FinOps dedicado, separado de quem administra recursos técnicos.
• Exigir aprovação de um segundo aprovador para compra/troca de reservas acima de um limite de valor definido.
• Revisar periodicamente o uso efetivo das reservas versus o consumo de recursos das assinaturas sob Owner.

• https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles
• https://learn.microsoft.com/en-us/azure/cost-management-billing/reservations/manage-reserved-vm-instance