Azure Policy與Azure RBAC有何分別？

政策合規與操作授權的分工

Azure Policy控制資源應否符合組織規則，Azure RBAC則控制某個身分可以對資源執行甚麼操作。兩者共同建立治理邊界，但不能互相取代。企業應把設計原則轉化為可執行的標準、批准流程、監察指標及定期覆核，並先在測試環境驗證重大變更。

建議實施步驟

1. 先按管理群組與訂閱劃分治理邊界——避免把所有規則集中於單一層級。
2. 以內建角色開始——僅在必要時建立自訂角色，並縮窄可執行動作。
3. 先以Audit模式評估政策影響——再逐步轉為Deny或DeployIfNotExists。
4. 定期檢視政策不合規結果、角色指派及例外——保留變更與批准紀錄。

執行期間應保存設定、測試結果、例外原因、責任人與回復方法。重要設定須採用最小權限及職責分離，並把告警連接到明確工單與處理時限。

香港企業部署與營運要點

企業常見混合雲、外判支援及多個辦公地點，設計時須同時確認資料擁有人、服務時段、網絡依賴及供應商責任。所有例外應有到期日及補償控制；重大變更宜分批實施，並在維護窗口完成驗證。

技術控制亦要配合資產清冊、變更管理、備份、日誌及事故應變。單一設定顯示正常，並不等於整個服務鏈已具備安全性及可恢復性。

常見問題

延伸閱讀

權威資料來源

Microsoft Learn：Azure Policy概覽；NIST SP 800-53 Rev.5：安全及私隱控制。