التحكم في الوصول المستند إلى الدور لخدمة Azure Batch

تدعم Azure Batch Service مجموعة من أدوار Azure المضمنة التي توفر مستويات مختلفة من الأذونات لحساب Azure Batch. باستخدام التحكم في الوصول المستند إلى الدور في Azure (Azure RBAC)، وهو نظام تخويل لإدارة الوصول الفردي إلى موارد Azure، يمكنك تعيين أذونات محددة للمستخدمين أو أساسيات الخدمة أو الهويات الأخرى التي تحتاج إلى التفاعل مع حساب Batch الخاص بك. يمكنك أيضا تعيين أدوار مخصصة بأذونات مخصصة دقيقة تتكيف مع سيناريو الاستخدام المحدد.

إشعار

جميع أدوار RBAC (المضمنة والمخصصة) مخصصة للمستخدمين الذين تمت مصادقتها بواسطة معرف Microsoft Entra، وليس لبيانات اعتماد المفتاح المشترك ل Batch. تمنح بيانات اعتماد المفتاح المشترك الدفعي الإذن الكامل لحساب Batch.

تعيين Azure RBAC

اتبع هذه الخطوات لتعيين دور Azure RBAC لمستخدم أو مجموعة أو كيان خدمة أو هوية مدارة. للحصول على خطوات تفصيلية، راجع تعيين أدوار Azure باستخدام مدخل Azure.

1. في مدخل Microsoft Azure، انتقل إلى حساب Batch المحدد.

   تلميح

   يمكنك أيضاً إعداد Azure RBAC لمجموعات الموارد أو الاشتراكات أو مجموعات الإدارة بأكملها. قم بذلك عن طريق تحديد مستوى النطاق المطلوب ثم الانتقال إلى العنصر المطلوب. على سبيل المثال، تحديد Resource groups ثم الانتقال إلى مجموعة موارد معينة.

2. حدد Access control (IAM) من جزء التنقل الأيمن.

3. في صفحة Access control (IAM)، حدد Add role assignment.

4. في صفحة Add role assignment ، حدد علامة التبويب Role ، ثم حدد أحد أدوار RBAC المضمنة في Azure Batch.

5. حدد علامة التبويب Members، وحدد Select members ضمن Members.

6. في شاشة تحديد الأعضاء ، ابحث عن مستخدم أو مجموعة أو كيان خدمة أو هوية مدارة وحددها، ثم حدد تحديد.

   إشعار

   عند تكوين تطبيق لمصادقة خدمات Azure Batch مع كيان الخدمة، ابحث عن التطبيق الخاص بك وحدده هنا لتكوين وصوله وأذوناته إلى حساب Azure Batch.

7. حدد Review + assign في صفحة Add role assignment .

يجب أن تظهر الهوية الهدف الآن في علامة التبويب Role assignments في صفحة التحكم في الوصول (IAM) لحساب Batch.

أدوار التحكم في الوصول استنادا إلى الدور المضمنة في Azure Batch

يحتوي Azure Batch على بعض الأدوار المحددة مسبقا لمعالجة سيناريوهات المستخدم الشائعة، ما يضمن إمكانية تعيين مستويات الوصول المناسبة على حساب Azure Batch بكفاءة إلى هوية لواجبهم المحدد.

الدور مدمج	‏‏الوصف	البطاقة/رقم البطاقة
مساهم حساب Azure Batch	منح حق الوصول الكامل لإدارة جميع موارد الدفعات، بما في ذلك حسابات الدفعات والتجمعات والوظائف.	29fe4964-1e60-436b-bd3a-77fd4c178b3c
قارئ حساب Azure Batch	يتيح لك عرض جميع الموارد بما في ذلك التجمعات والوظائف في حساب Batch.	11076f67-66f6-4be0-8f6b-f0609fd05cc9
مساهم بيانات Azure Batch	يمنح أذونات لإدارة تجمعات الدفعات والوظائف ولكن ليس لتعديل الحسابات.	6aaa78f1-f7de-44ca-8722-c64a23943cae
مرسل مهام Azure Batch	يتيح لك إرسال المهام وإدارتها في حساب Batch.	48e5e92e-a480-4e71-aa9c-2778f4c13781

الأذونات	مساهم حساب Azure Batch	قارئ حساب Azure Batch	مساهم بيانات Azure Batch	مرسل مهام Azure Batch
سرد حسابات Batch أو عرض خصائص حساب Batch	✓	✓	✓
إنشاء حساب Batch أو تحديثه أو حذفه	✓
سرد مفاتيح الوصول لحساب Batch	✓
إعادة إنشاء مفاتيح الوصول لحساب Batch	✓
سرد خصائص التطبيقات وحزم التطبيقات أو عرضها على حساب Batch	✓	✓	✓	✓
إنشاء التطبيقات وحزم التطبيقات أو تحديثها أو حذفها على حساب Batch	✓		✓
سرد خصائص الشهادات أو عرضها على حساب Batch	✓	✓	✓
إنشاء الشهادات أو تحديثها أو حذفها على حساب Batch	✓		✓
سرد خصائص التجمعات أو عرضها على حساب Batch	✓	✓	✓	✓
إنشاء تجمعات أو تحديثها أو حذفها على حساب Batch	✓		✓
سرد خصائص المهام أو عرضها على حساب Batch	✓	✓	✓	✓
إنشاء مهام أو تحديثها أو حذفها على حساب Batch	✓		✓	✓
سرد خصائص جداول الوظائف أو عرضها على حساب Batch	✓	✓	✓	✓
إنشاء جداول المهام أو تحديثها أو حذفها على حساب Batch	✓		✓	✓

تحذير

تم إيقاف ميزة شهادة حساب الدفعة.

مساهم حساب Azure Batch

منح حق الوصول الكامل لإدارة جميع موارد الدفعات، بما في ذلك حسابات الدفعات والتجمعات والوظائف.

الإجراءات	‏‏الوصف
Microsoft.Authorization/*/read	أدوار القراءة وتعيينات الأدوار.
Microsoft.Insights/alertRules/*	إنشاء تنبيه قياسي كلاسيكي وإدارته.
Microsoft.Resources/deployments/*	إنشاء عملية توزيع وإدارتها.
Microsoft.Resources/subscriptions/resourceGroups/read	الحصول على مجموعات الموارد أو سردها.
Microsoft.Batch/*
NotActions
لا شيء
عمليات البيانات
Microsoft.Batch/*
NotDataActions
لا شيء

{
    "assignableScopes": [
        "/"
    ],
    "description": "Grants full access to manage all Batch resources, including Batch accounts, pools and jobs.",
    "id": "/providers/Microsoft.Authorization/roleDefinitions/29fe4964-1e60-436b-bd3a-77fd4c178b3c",
    "permissions": [
        {
            "actions": [
                "Microsoft.Authorization/*/read",
                "Microsoft.Batch/*",
                "Microsoft.Insights/alertRules/*",
                "Microsoft.Resources/deployments/*",
                "Microsoft.Resources/subscriptions/resourceGroups/read"
            ],
            "dataActions": [
                "Microsoft.Batch/*"
            ],
            "notActions": [],
            "notDataActions": []
        }
    ],
    "roleName": "Azure Batch Account Contributor",
    "roleType": "BuiltInRole",
    "type": "Microsoft.Authorization/roleDefinitions"
}

قارئ حساب Azure Batch

يتيح لك عرض جميع الموارد بما في ذلك التجمعات والوظائف في حساب Batch.

الإجراءات	‏‏الوصف
Microsoft.Batch/*/read	عرض كافة الموارد في حساب Batch.
Microsoft.Resources/subscriptions/resourceGroups/read	الحصول على مجموعات الموارد أو سردها.
NotActions
لا شيء
عمليات البيانات
Microsoft.Batch/*/read	عرض كافة الموارد في حساب Batch.
NotDataActions
لا شيء

{
    "assignableScopes": [
        "/"
    ],
    "description": "Lets you view all resources including pools and jobs in the Batch account.",
    "id": "/providers/Microsoft.Authorization/roleDefinitions/11076f67-66f6-4be0-8f6b-f0609fd05cc9",
    "permissions": [
        {
            "actions": [
                "Microsoft.Batch/*/read",
                "Microsoft.Resources/subscriptions/resourceGroups/read"
            ],
            "dataActions": [
                "Microsoft.Batch/*/read"
            ],
            "notActions": [],
            "notDataActions": []
        }
    ],
    "roleName": "Azure Batch Account Reader",
    "roleType": "BuiltInRole",
    "type": "Microsoft.Authorization/roleDefinitions"
}

مساهم بيانات Azure Batch

يمنح أذونات لإدارة تجمعات الدفعات والوظائف ولكن ليس لتعديل الحسابات.

الإجراءات	‏‏الوصف
Microsoft.Authorization/*/read	أدوار القراءة وتعيينات الأدوار.
Microsoft.Batch/batchAccounts/read	يسرد حسابات Batch أو يحصل على خصائص حساب Batch.
Microsoft.Batch/batchAccounts/applications/*	إنشاء وإدارة التطبيقات وحزم التطبيقات على حساب Batch.
Microsoft.Batch/batchAccounts/certificates/*	إنشاء الشهادات وإدارتها على حساب Batch. (تحذير: تم إيقاف ميزة الشهادة)
Microsoft.Batch/batchAccounts/certificateOperationResults/*	يحصل على نتائج عملية شهادة طويلة الأمد على حساب Batch. (تحذير: تم إيقاف ميزة الشهادة)
Microsoft.Batch/pools/*	إنشاء مجموعات وإدارتها على حساب Batch.
Microsoft.Batch/poolOperationResults/*	يحصل على نتائج عملية تجمع طويلة الأمد على حساب Batch.
Microsoft.Batch/locations/*/read	الحصول على نتيجة عملية حساب الدفعة/الحصة النسبية للدفعة/حجم الجهاز الظاهري المدعوم في الموقع المحدد.
Microsoft.Insights/alertRules/*	إنشاء تنبيه قياسي كلاسيكي وإدارته.
Microsoft.Resources/deployments/*	إنشاء عملية توزيع وإدارتها.
Microsoft.Resources/subscriptions/resourceGroups/read	الحصول على مجموعات الموارد أو سردها.
NotActions
لا شيء
عمليات البيانات
Microsoft.Batch/batchAccounts/jobSchedules/*	إنشاء جداول الوظائف وإدارتها على حساب Batch.
Microsoft.Batch/batchAccounts/jobs/*	إنشاء المهام وإدارتها على حساب Batch.
NotDataActions
لا شيء

{
    "assignableScopes": [
        "/"
    ],
    "description": "Grants permissions to manage Batch pools and jobs but not to modify accounts.",
    "id": "/providers/Microsoft.Authorization/roleDefinitions/6aaa78f1-f7de-44ca-8722-c64a23943cae",
    "permissions": [
        {
            "actions": [
                "Microsoft.Authorization/*/read",
                "Microsoft.Batch/batchAccounts/read",
                "Microsoft.Batch/batchAccounts/applications/*",
                "Microsoft.Batch/batchAccounts/certificates/*",
                "Microsoft.Batch/batchAccounts/certificateOperationResults/*",
                "Microsoft.Batch/batchAccounts/pools/*",
                "Microsoft.Batch/batchAccounts/poolOperationResults/*",
                "Microsoft.Batch/locations/*/read",
                "Microsoft.Insights/alertRules/*",
                "Microsoft.Resources/deployments/*",
                "Microsoft.Resources/subscriptions/resourceGroups/read"
            ],
            "dataActions": [
                "Microsoft.Batch/batchAccounts/jobSchedules/*",
                "Microsoft.Batch/batchAccounts/jobs/*"
            ],
            "notActions": [],
            "notDataActions": []
        }
    ],
    "roleName": "Azure Batch Data Contributor",
    "roleType": "BuiltInRole",
    "type": "Microsoft.Authorization/roleDefinitions"
}

مرسل مهام Azure Batch

يتيح لك إرسال المهام وإدارتها في حساب Batch.

الإجراءات	‏‏الوصف
Microsoft.Batch/batchAccounts/applications/read	سرد التطبيقات أو الحصول على خصائص التطبيق.
Microsoft.Batch/batchAccounts/applications/versions/read	يحصل على خصائص حزمة التطبيق.
Microsoft.Batch/pools/read	يسرد التجمعات على حساب Batch أو يحصل على خصائص التجمع.
Microsoft.Insights/alertRules/*	إنشاء تنبيه قياسي كلاسيكي وإدارته.
Microsoft.Resources/subscriptions/resourceGroups/read	الحصول على مجموعات الموارد أو سردها.
NotActions
لا شيء
عمليات البيانات
Microsoft.Batch/batchAccounts/jobSchedules/*	إنشاء جداول الوظائف وإدارتها على حساب Batch.
Microsoft.Batch/batchAccounts/jobs/*	إنشاء المهام وإدارتها على حساب Batch.
NotDataActions
لا شيء

{
    "assignableScopes": [
        "/"
    ],
    "description": "Lets you submit and manage jobs in the Batch account.",
    "id": "/providers/Microsoft.Authorization/roleDefinitions/48e5e92e-a480-4e71-aa9c-2778f4c13781",
    "permissions": [
        {
            "actions": [
                "Microsoft.Batch/batchAccounts/applications/read",
                "Microsoft.Batch/batchAccounts/applications/versions/read",
                "Microsoft.Batch/batchAccounts/pools/read",
                "Microsoft.Insights/alertRules/*",
                "Microsoft.Resources/subscriptions/resourceGroups/read"
            ],
            "dataActions": [
                "Microsoft.Batch/batchAccounts/jobSchedules/*",
                "Microsoft.Batch/batchAccounts/jobs/*"
            ],
            "notActions": [],
            "notDataActions": []
        }
    ],
    "roleName": "Azure Batch Job Submitter",
    "roleType": "BuiltInRole",
    "type": "Microsoft.Authorization/roleDefinitions"
}

تعيين دور مخصص

إذا لم تلبي الأدوار المضمنة في Azure Batch احتياجاتك، يمكن استخدام أدوار Azure المخصصة لمنح إذن متعدد المستويات لمستخدم لإرسال المهام والمهام والمزيد. يمكنك استخدام دور مخصص لمنح أو رفض الأذونات لمعرف Microsoft Entra لعمليات Azure Batch RBAC التالية.

• Microsoft.Batch/batchAccounts/pools/write
• Microsoft.Batch/batchAccounts/pools/delete
• Microsoft.Batch/batchAccounts/pools/read
• Microsoft.Batch/batchAccounts/jobSchedules/write
• Microsoft.Batch/batchAccounts/jobSchedules/delete
• Microsoft.Batch/batchAccounts/jobSchedules/read
• Microsoft.Batch/batchAccounts/jobs/write
• Microsoft.Batch/batchAccounts/jobs/delete
• Microsoft.Batch/batchAccounts/jobs/read
• Microsoft.Batch/batchAccounts/certificates/write
• Microsoft.Batch/batchAccounts/certificates/delete (تحذير: تم إيقاف ميزة الشهادة)
• Microsoft.Batch/batchAccounts/certificates/read (تحذير: تم إيقاف ميزة الشهادة)
• Microsoft.Batch/batchAccounts/applications/write
• Microsoft.Batch/batchAccounts/applications/delete
• Microsoft.Batch/batchAccounts/applications/read
• Microsoft.Batch/batchAccounts/applications/versions/write
• Microsoft.Batch/batchAccounts/applications/versions/delete
• Microsoft.Batch/batchAccounts/applications/versions/read
• Microsoft.Batch/batchAccounts/read، لأي عملية قراءة
• Microsoft.Batch/batchAccounts/listKeys/action، لأي عملية

تلميح

تتطلب المهام التي تستخدم autopool أذونات كتابة على مستوى التجمع.

إشعار

يجب تحديد تعيينات أدوار معينة في actions الحقل، بينما يجب تحديد تعيينات أخرى في dataActions الحقل. تحتاج إلى فحص كل من actions وفهم dataActions النطاق الكامل للقدرات المعينة لدور ما. لمزيد من المعلومات، راجع عمليات موفر موارد Azure.

يوضح المثال التالي تعريف دور Azure Batch المخصص:

{
 "properties":{
    "roleName":"Azure Batch Custom Job Submitter",
    "type":"CustomRole",
    "description":"Allows a user to submit autopool jobs to Azure Batch",
    "assignableScopes":[
      "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
    ],
    "permissions":[
      {
        "actions":[
          "Microsoft.Batch/*/read",
          "Microsoft.Batch/batchAccounts/pools/write",
          "Microsoft.Batch/batchAccounts/pools/delete",
          "Microsoft.Authorization/*/read",
          "Microsoft.Resources/subscriptions/resourceGroups/read",
          "Microsoft.Support/*",
          "Microsoft.Insights/alertRules/*"
        ],
        "notActions":[

        ],
        "dataActions":[
          "Microsoft.Batch/batchAccounts/jobs/*",
          "Microsoft.Batch/batchAccounts/jobSchedules/*"
        ],
        "notDataActions":[

        ]
      }
    ]
  }
}

الخطوات التالية

• إنشاء حساب Batch في مدخل Microsoft Azure
• مصادقة حلول إدارة الدفعات باستخدام معرف Microsoft Entra
• مصادقة خدمات Azure Batch باستخدام معرف Microsoft Entra