Definición de rol creada por el usuario que combina un conjunto específico de permisos (Actions, NotActions, DataActions) cuando los roles integrados de Azure no se ajustan al principio de mínimo privilegio requerido.
En AZ-305 se pregunta cuándo crear un rol personalizado en vez de usar Contributor/Reader: cuando necesitas otorgar exactamente un subconjunto de permisos (ej. solo reiniciar VMs, sin poder eliminarlas). Se define en JSON y se asigna igual que un rol integrado.