Remover System Deny Assignment de Resource Group Órfão

Question

Remover System Deny Assignment de Resource Group Órfão

DTI 0

PROBLEMA:

Resource group órfão protegido por System Deny Assignment que impede deleção ou modificação.

CONTEXTO:

O resource group 'ai_app-underwriter_PII removed_managed' foi criado automaticamente por um Application Insights (app-underwriter) que geriava recursos gerenciados. O Application Insights e seu resource group original (rg-underwriter) foram deletados há muito tempo, mas o System Deny Assignment permanece ativo.

DETALHES TÉCNICOS:

Subscription ID: PII removed
Resource Group: ai_app-underwriter_PIIremoved_managed
Deny Assignment ID: PII removed
Tipo: System Deny Assignment (Application Insights)
IsSystemProtected: true
ExpirationDate: null (não expira automaticamente)

TENTATIVAS REALIZADAS:

Tentativa de deleção via Azure CLI: Bloqueado por Deny Assignment
Tentativa de remoção do Deny Assignment via REST API: Requer app-only token
Tentativa via Portal: Bloqueado por Deny Assignment
Service Principal com Owner: Bloqueado por Deny Assignment

SOLICITAÇÃO:

Solicitamos orientação sobre como remover o System Deny Assignment para permitir a limpeza do recurso órfão, ou se é necessário contatar o suporte da Microsoft para remoção manual.

Dio Xavier 298K Pontos de reputação Moderador Voluntário

2025-11-14T14:48:38.9433333+00:00
Olá

Bem vindo à Comunidade Microsoft Azure

Bom dia. O System Deny Assignment presente nesse resource group foi criado automaticamente pelo Application Insights como recurso gerenciado, e está marcado como IsSystemProtected = true. Por design, esse tipo de deny não pode ser removido por usuários — mesmo com permissões de Owner — e impede a deleção do resource group.

Solução recomendada Abra um chamado com o Suporte da Microsoft Azure informando:

Subscription ID

Resource Group afetado

Deny Assignment ID

Que o recurso original do Application Insights já foi removido

Solicite a remoção do deny assignment ou o desbloqueio para deleção do resource group.

Após a liberação, será possível excluir o RG normalmente via Portal ou CLI.
Sridevi Machavarapu 33,820 Pontos de reputação Equipe Externa da Microsoft Moderador

2025-11-14T15:42:59.1366667+00:00

Ola DTI,

Obrigado por fornecer os detalhes. Vou verificar internamente e volto a entrar em contacto caso seja necessário.

1 resposta

Sua resposta

Dio Xavier 298K Pontos de reputação Moderador Voluntário

2025-11-14T14:48:38.9433333+00:00

Olá

Bem vindo à Comunidade Microsoft Azure

Bom dia. O System Deny Assignment presente nesse resource group foi criado automaticamente pelo Application Insights como recurso gerenciado, e está marcado como IsSystemProtected = true. Por design, esse tipo de deny não pode ser removido por usuários — mesmo com permissões de Owner — e impede a deleção do resource group.

Solução recomendada Abra um chamado com o Suporte da Microsoft Azure informando:

Subscription ID

Resource Group afetado

Deny Assignment ID

Que o recurso original do Application Insights já foi removido

Solicite a remoção do deny assignment ou o desbloqueio para deleção do resource group.

Após a liberação, será possível excluir o RG normalmente via Portal ou CLI.
Sridevi Machavarapu 33,820 Pontos de reputação Equipe Externa da Microsoft Moderador

2025-11-14T15:42:59.1366667+00:00

Ola DTI,

Obrigado por fornecer os detalhes. Vou verificar internamente e volto a entrar em contacto caso seja necessário.

Answer 1

Olá DTI,

Obrigado por postar sua pergunta no Microsoft Q&A.

Com base na mensagem de erro, entendo que sua conta de usuário foi adicionada a uma lista de Atribuições Negadas no nível raiz.

As negações de atribuições impedem que os usuários executem ações específicas em recursos do Azure, mesmo que uma atribuição de função lhes conceda acesso.

Importante

Você não pode criar suas próprias atribuições de negação diretamente. As atribuições de negação são criadas e gerenciadas pelo Azure para proteger os recursos.

Pré-requisitos

Para obter informações sobre uma atribuição negada, você deve ter:

Permissão Microsoft.Authorization/denyAssignments/read, que está incluída na maioria Azure built-in roles.

Listar atribuições de negação no portal do Azure

Siga estas etapas para listar atribuições de negação no nível da assinatura ou do grupo de gerenciamento.

No portal do Azure, abra o escopo selecionado, como grupo de recursos ou assinatura.
Selecione Controle de acesso (IAM).

Selecione a aba de Atribuições de Negação (ou selecione o botão Visualizar no bloco Visualizar atribuições de negação). Se houver alguma atribuição de negação neste escopo ou herdada para este escopo, elas serão listadas conforme mostrado na captura de tela abaixo.

Imagem do usuário 4. Para exibir colunas adicionais, selecione Editar Colunas.

Imagem do usuário

Marque qualquer um dos itens habilitados e então selecione OK para exibir as colunas selecionadas.

Excluir atribuições de negação no portal do Azure

Por favor, certifique-se de que você possui um cargo com privilégios suficientes, como Proprietário ou Administrador de Acesso de Usuário.
Na guia de Atribuições Negadas, selecione a conta de usuário afetada e, em seguida, exclua ou remova a conta de usuário afetada da lista de Atribuições Negadas.

Para mais detalhes, por favor consulte o documento abaixo para sua referência.

List Azure deny assignments - Azure RBAC | Microsoft Learn

Espero que as informações fornecidas acima sejam úteis. Por favor, sinta-se à vontade para entrar em contato se tiver mais alguma dúvida.