L'ambito del gruppo di risorse è il confine di autorizzazione di Azure che limita ciò che un'identità può gestire all'interno di uno specifico gruppo di risorse. Quando un ruolo viene assegnato a questo livello, l'identità può agire su tutte le risorse contenute in quel gruppo, ma non necessariamente su altri gruppi o sottoscrizioni. In pratica, l'ambito controlla l'impatto potenziale di una credenziale o di un service principal.
Questo è importante perché gli attaccanti che compromettono un'identità cloud spesso utilizzano le autorizzazioni già concesse ad essa. Se quell'identità ha un ampio ambito del gruppo di risorse, azioni distruttive come la modifica o l'eliminazione di più asset possono essere eseguite tramite normali chiamate di gestione di Azure. I difensori riducono il rischio applicando il principio del privilegio minimo, separando i carichi di lavoro sensibili in gruppi diversi, rivedendo le assegnazioni di ruolo ereditate e usando blocchi delle risorse e avvisi per rilevare attività insolite sul piano di controllo.