azure - 为什么可以将资源移动到 Azure 中的只读资源组？

Question

我在 Azure 中测试锁，但在移动资源时没有得到资源组锁背后的逻辑。

示例

RG“实验室”

无锁

contains storage account "labstorage"

RG“生产”

只读锁

contains storage account "productionstorage"

<小时/>

行为

• 尝试向 RG Production 添加新的存储帐户

  • 失败(如预期)

• 将存储帐户 labstorage 从 RG Lab 移动到 RG Production

  • 作品

为什么移动操作成功？当锁阻止我添加新资源时，为什么它允许我将资源移动到它？感觉就像通过在其他地方创建资源来绕过锁。

这背后有什么逻辑吗，我可以理解吗？

Answer 1

存储帐户上的锁定是少数表现“奇怪”的事情之一。应用服务是另一个。

存储帐户周围有安全控制，将存储帐户链接到它所属的租户。

当针对存储帐户发生任何操作时，API 会对存储子系统执行后操作。

当应用只读锁时，由于存储堆栈中的 post API 调用，一切都会失败。

锁定可防止删除或修改等更改，但您可以向组添加服务和资源。然后他们就拥有了锁。