Azure 防火墙在创建和管理操作中会使用多个资源，例如虚拟网络和 IP 地址。 因此，在执行这些操作期间，应验证所有相关资源的权限，这一点至关重要。
Azure 内置角色
可以选择将 Azure 内置角色分配给用户、组、服务主体或托管标识，例如网络参与者，这些角色支持创建网关所需的所有权限。 有关详细信息，请参阅分配 Azure 角色的步骤。
自定义角色
如果 Azure 内置角色不满足组织的特定需求，你可以创建自己的自定义角色。 与内置角色一样，可将自定义角色分配到管理组、订阅和资源组范围内的用户、组与服务主体。 有关详细信息，请参阅 创建自定义角色的步骤 。
若要确保正常运行，请检查自定义角色权限，以确认用户服务主体和运行 Azure 防火墙的托管标识具有必要的权限。 要添加此处列出的任何缺失权限，请参阅更新自定义角色。
权限
根据是要创建新资源还是使用现有资源，从在中心 VNET 中为 Azure 防火墙添加以下列表中的相应权限：
| 资源 | 资源状态 | 必需的 Azure 权限 |
|---|---|---|
| 子网 | 新建 | Microsoft.Network/virtualNetworks/subnets/write (写入操作) Microsoft.Network/virtualNetworks/subnets/join/action |
| 子网 | 使用现有项 | Microsoft.Network/virtualNetworks/subnets/read Microsoft.Network/virtualNetworks/subnets/join/action |
| IP 地址 | 新建 | Microsoft.Network/publicIPAddresses/write Microsoft.Network/publicIPAddresses/join/action |
| IP 地址 | 使用现有项 | Microsoft.Network/publicIPAddresses/read（微软网络/公共IP地址/读取） Microsoft.Network/publicIPAddresses/join/action |
| Azure 防火墙 | 新建/更新现有 | Microsoft.Network/virtualNetworks/subnets/join/action Microsoft.Network/publicIPAddresses/join/action Microsoft.Network/virtualHubs/read |
如果要在 Azure 虚拟 WAN 中创建 Azure 防火墙，请添加以下权限：
| 资源 | 资源状态 | 必需的 Azure 权限 |
|---|---|---|
| virtualHubs | 新建/更新现有 | Microsoft.Network/virtualHubs/read |
有关详细信息，请参阅 Azure 网络 权限和 虚拟网络权限。
角色范围
在自定义角色定义过程中，可以在四个级别指定角色分配范围：管理组、订阅、资源组和资源。 若要授予访问权限，请将角色分配给特定范围内的用户、组、服务主体或托管标识。
这些范围以父子关系进行结构化，层次结构的每一级使范围更加具体。 可以在范围的任意级别分配角色，角色的应用范围取决于所选的级别。
例如，在订阅级别分配的角色可以级联到该订阅中的所有资源，而资源组级别分配的角色将仅适用于该特定组中的资源。 详细了解范围级别。有关详细信息，请参阅范围级别。
其他服务
如需查看其他服务的角色和权限，请访问以下链接：
注释
在角色分配发生更改后，留出足够的时间进行 Azure 资源管理器缓存刷新。