特定のリソースグループにのみ権限を出している環境に追加してNetwork Watcherの作成、利用権限を出す方法

Azure の環境への権限の出し方としてサブスクリプションレベルでは強い権限を出さずに、リソースグループ単位でのみ必要最小限の権限を出すようなケースがあると思います。

これはこれで目的によっては全然OKなのですが、例えば Network Watcherなどは専用のリソースグループ「NetworkWatcherRG」にリソースが必ず作成される仕様になっていたりして別の権限が必要だったりします。

単独のリソースグループに権限を持つ以外に、Network Watcher を作成し使用可能にできるだけの権限をつけようと思い、カスタムロールを作成してみました。とりあえずリソースを作成し、利用できているように見えています。権限が足りない時にはエラーでどのスコープに対してどの権限が足りてないのかをきちんと教えてくれるのでやりたいことを実施してエラーがでるならばそれを愚直に権限付与していくような形でもとりあえず何とかはなりそうです。