Como uma organização pode aplicar restrições baseadas em função às assinaturas do Azure enquanto gerencia o acesso de faturamento separadamente?

O Azure RBAC (Role-Based Access Control) permite gerenciar o acesso a recursos do Azure, atribuindo funções específicas a usuários, grupos ou entidades de serviço. Com o RBAC, você pode conceder permissões granulares, como acesso de leitura ou de contribuidor, a assinaturas inteiras ou a recursos individuais. Isso permite que uma organização aplique restrições baseadas em função às assinaturas, enquanto o acesso de faturamento pode ser gerenciado separadamente através de funções como "Leitor de Faturamento" ou "Colaborador de Faturamento". Grupos do Azure Active Directory são usados para agrupar usuários, mas não definem permissões de acesso diretamente aos recursos do Azure. O Azure Policy é usado para impor padrões e avaliar a conformidade dos recursos, não para gerenciar permissões de acesso. Grupos de Gerenciamento do Azure são usados para organizar assinaturas em hierarquias para gerenciamento de políticas e custos em larga escala, mas o controle de acesso real é feito com RBAC.