Вы создаете настраиваемую роль с именем Role1 для клиента Azure AD contoso.com. На каких уровнях (scopes) можно использовать Role1 для делегирования разрешений?

Пользовательские роли Azure AD, такие как Role1, всегда имеют область действия на уровне организации (организационного каталога) Azure AD. Это означает, что они могут быть назначены только в корневом каталоге Azure AD (в данном случае, contoso.com) и не могут быть ограничены подписками, группами ресурсов или другими ресурсами Azure. Пользовательские роли Azure AD отличаются от пользовательских ролей Azure RBAC, которые могут быть назначены на уровне подписки, группы ресурсов или ресурса. Поэтому Role1 может использоваться для делегирования разрешений только в пределах всего клиента Azure AD contoso.com.