您为 contoso.com Azure AD 租户创建了一个名为 Role1 的自定义角色。Role1 可以在哪些范围用于委派权限？

自定义 Azure AD 角色只能在 Azure AD 租户级别进行分配。这意味着您创建的 Role1 只能在 contoso.com 租户范围内委派权限。它不能直接应用于资源组 (RG1) 或订阅 (Subscription1)，因为这些是 Azure 资源管理器的范围，而不是 Azure AD 的范围。虽然 Azure AD 角色可以控制对 Azure 资源的访问，但自定义 Azure AD 角色本身的分配范围仅限于 Azure AD 租户。若要在资源组或订阅级别委派权限，您需要使用 Azure RBAC（基于角色的访问控制）中的内置角色或自定义角色。