Předdefinované role RBAC pro operace IoT

Operace Azure IoT (AIO) nabízí dvě předdefinované role navržené tak, aby zjednodušily a zabezpečily správu přístupu pro prostředky AIO: Správce operací Azure IoT a onboarding operací Azure IoT. Pokud váš scénář vyžaduje podrobnější přístup, můžete vytvořit vlastní roli RBAC.

Důležité

Předdefinované role pro AIO zjednoduší správu přístupu pro prostředky AIO, ale automaticky neudělí oprávnění pro všechny požadované závislosti Azure. AIO spoléhá na několik služeb Azure, jako je Azure Key Vault, Azure Storage, Azure Arc a další. Vždy zkontrolujte a přiřaďte potřebné další role, abyste zajistili, že uživatelé budou mít kompletní přístup k úspěšnému nasazení a operaci AIO.

Role správce provozu Azure IoT

Role Správce operací Azure IoT poskytuje komplexní oprávnění ke správě a provozu všech komponent operací Azure IoT. Přiřaďte tuto roli uživatelům, kteří potřebují plný přístup k používání prostředků AIO. Aby uživatelé mohli podporovat nasazení a průběžnou správu AIO, vyžadují další oprávnění. Pokud uživatel potřebuje používat jenom AIO, můžete přiřadit roli správce sama.

Při přiřazování této předdefinované role je potřeba zajistit, aby uživateli byly přiřazeny také následující role:

• Role správce Centra hardwaru Azure Edge: Tato role uděluje přístup ke správě a provedení akcí jako správce objednávek hraničních zařízení. Používá se k objednání a správě zařízení Azure Stack Edge.
• Role uživatele clusteru Kubernetes s podporou Azure Arc: Tato role slouží ke správě clusterů Kubernetes s podporou Azure Arc tím, že poskytuje oprávnění k zápisu nasazení, správě předplatných a zpracování připojených clusterů a rozšíření.
• Role správce služby Key Vault: Tato role umožňuje uživateli spravovat všechny aspekty služby Azure Key Vault, včetně vytváření, údržby, zobrazení a odstraňování klíčů, certifikátů a tajných kódů.
• Role Přispěvatel rozšíření Kubernetes: Tato role umožňuje uživatelům spravovat rozšíření Kubernetes, včetně vytváření, aktualizace a odstraňování rozšíření.
• Role Přispěvatel spravované identity: Tato role umožňuje uživateli spravovat spravované identity, včetně vytváření, aktualizace a odstraňování spravovaných identit přiřazených uživatelem.
• Role Přispěvatel monitorování: Tato role umožňuje uživateli číst všechna data monitorování a aktualizovat nastavení monitorování.
• Role Přispěvatel skupiny prostředků: Tato role uděluje oprávnění ke správě prostředků v rámci skupiny prostředků, včetně vytváření, aktualizace a odstraňování prostředků.
• Role Vlastník rozšíření úložiště tajných kódů: Tato role umožňuje uživateli spravovat rozšíření Úložiště tajných kódů, které synchronizuje tajné kódy ze služby Azure Key Vault do clusterů Kubernetes.
• Role Přispěvatel účtu úložiště: Tato role umožňuje uživateli spravovat účty úložiště, včetně vytváření, aktualizace a odstraňování účtů úložiště a správy přístupových klíčů a dalších nastavení.

Role onboardingu operací Azure IoT

Onboarding AIO je specializovaná role, která poskytuje potřebná oprávnění k nasazení komponent operací Azure IoT.

Při přiřazování této předdefinované role je potřeba zajistit, aby uživateli byly přiřazeny také následující role:

• Role nasazení mostu prostředků Azure: Tato role slouží ke správě nasazení mostu prostředků Azure. Zahrnuje oprávnění ke čtení, zápisu a odstraňování různých prostředků souvisejících s mostem prostředků, jako jsou zařízení, umístění a konfigurace telemetrie.
• Cluster Kubernetes – role onboardingu Azure Arc: Tato role se používá pro onboarding clusterů Kubernetes do služby Azure Arc.
• Role Přispěvatel účtu úložiště: Tato role umožňuje uživateli spravovat účty úložiště, včetně vytváření, aktualizace a odstraňování účtů úložiště a správy přístupových klíčů a dalších nastavení.
• Role Přispěvatel skupiny prostředků: Tato role uděluje oprávnění ke správě prostředků v rámci skupiny prostředků, včetně vytváření, aktualizace a odstraňování prostředků.
• Role uživatele clusteru Kubernetes s podporou Azure Arc: Tato role slouží ke správě clusterů Kubernetes s podporou Azure Arc tím, že poskytuje oprávnění k zápisu nasazení, správě předplatných a zpracování připojených clusterů a rozšíření.