Správa přístupu pro Microsoft Planety Computer Pro

V tomto článku se dozvíte, jak spravovat identity v Microsoft Entra ID a jak nakonfigurovat řízení přístupu na základě role (RBAC) pro Microsoft Planety Computer Pro. Tento proces umožňuje uživateli přiřadit konkrétní přístupová oprávnění k prostředkům GeoCatalog identitám Microsoft Entra.

Požadavky

• Účet Azure s aktivním předplatným – bezplatné vytvoření účtu
• Existující prostředek GeoCatalog
• Azure CLI (pro přiřazení role založené na rozhraní příkazového řádku)
• Ověřeno pro Azure prostřednictvím az login. Rozhraní API řídicí roviny GeoCatalog vyžaduje ověřování OAuth2 pomocí služby Azure Active Directory s oborem user_impersonation. Azure CLI to zpracuje automaticky po přihlášení.

Vytváření a správa uživatelů

Vytvořte a spravujte seznam uživatelů podle návodu k Microsoft Entra ID o vytváření, pozvání a odstraňování uživatelů. Po vytvoření uživatelů musíte jim udělit správná oprávnění pro přístup k prostředku GeoCatalog s přiřazením jedné nebo více rolí RBAC.

Planetární počítač Pro definuje dvě role specifické pro prostředky GeoCatalog, kromě předdefinovaných rolí Azure:

Úloha	Popis	Umožňuje správu RBAC?
Správce GeoCatalogu	Umožňuje uživateli číst, zapisovat a odstraňovat data uvnitř GeoCatalogu.	Ne
Čtenář GeoCatalogu	Umožňuje uživateli číst pouze data GeoCatalogs.	Ne
Vlastník	Integrovaná role Azure, která uděluje úplný přístup ke všem prostředkům, včetně možnosti správy RBAC.	Ano
Správce uživatelského přístupu	Integrovaná role Azure, která umožňuje správu uživatelského přístupu k prostředkům Azure.	Ano
Správce řízení přístupu na základě rolí	Předdefinovaná role Azure, která umožňuje správu přiřazení a oprávnění RBAC.	Ano

Poznámka:

Vlastník je také správcem GeoCatalogu.

Přehled ověřování a autorizace

Než bude možné identitu autorizovat prostřednictvím RBAC, musí se nejprve ověřit v Microsoft Entra ID. Metoda ověřování závisí na typu identity přistupující k geoCatalogu:

Typ identityt	Metoda ověřování	Poté se autorizujte pomocí
Uživatel (portál, rozhraní příkazového řádku, Průzkumník)	Interaktivní přihlášení (az login nebo prohlížeč OAuth2)	Role RBAC přiřazené v tomto článku
Spravovaná identita (aplikace na Azure)	Automatický token prostřednictvím infrastruktury Azure	Role RBAC přiřazené v tomto článku
Instanční objekt služby (aplikace mimo Azure)	Tajný klíč klienta nebo certifikát prostřednictvím registrace aplikace Entra	Role RBAC přiřazené v tomto článku

Všechny operace řídicí roviny GeoCatalogu a roviny dat vyžadují platný nosný token OAuth2 s oborem user_impersonation . Podrobné nastavení pro jednotlivé scénáře najdete v tématu Konfigurace ověřování aplikací. Další informace o konceptech RBAC Azure najdete v tématu Azure přehled řízení přístupu na základě role.

Přiřadit uživateli řízení přístupu na základě rolí

Role RBAC můžete přiřadit uživatelům planetárního počítače Pro pomocí webu Azure Portal. Tato část ukazuje, jak pomocí ovládacích prvků IAM (GeoCatalog Access Control) přiřadit roli správce GeoCatalog jednomu nebo více uživatelům.

1. Na webu Azure Portal přejděte na kartu Řízení přístupu k prostředkům GeoCatalog (IAM) na levém bočním panelu:

   

2. Vyberte Přidat>Přiřazení role.

3. V seznamu rolí funkcí úloh vyberte Správce GeoCatalogu a pak v dolní části stránky vyberte tlačítko Další:

   

4. Vyberte rádiové tlačítko uživatele, skupiny nebo entity služby:

   

5. Vybrat členy

6. Vyhledejte uživatele v podokně Vybrat členy , které se zobrazí na pravé straně. Vyberte název nebo identitu ze seznamu a přidejte ho do seznamu vybraných členů. Tento krok opakujte pro každého uživatele, kteří musí mít přiřazenou tuto roli.

7. Pokud jsou vybráni všichni uživatelé, kterým potřebujete přiřadit tuto roli, zavřete podokno pomocí tlačítka Vybrat v dolní části podokna.

8. V dolní části stránky vyberte Další .

9. Ověřte informace a poté dokončete zadání výběrem zkontrolovat a přiřadit.

Teď můžou vybraní uživatelé přistupovat k prostředku GeoCatalog prostřednictvím webu Azure Portal nebo rozhraní API.

Přiřazení rolí pomocí Azure CLI

Role RBAC můžete také přiřadit pomocí Azure CLI, které volá rozhraní API řídicí roviny ARM (Microsoft.Authorization/roleAssignments).

Přiřaďte roli

# Define variables
SUBSCRIPTION_ID="{your-subscription-id}"
RESOURCE_GROUP="{your-resource-group}"
GEOCATALOG_NAME="{your-geocatalog-name}"
ASSIGNEE_OBJECT_ID="{user-or-service-principal-object-id}"

# GeoCatalog Administrator role definition ID
ROLE_DEFINITION_ID="$(az role definition list --name "GeoCatalog Administrator" --query "[0].id" -o tsv)"

# Assign the role scoped to the GeoCatalog resource
az role assignment create \
  --assignee-object-id "$ASSIGNEE_OBJECT_ID" \
  --role "$ROLE_DEFINITION_ID" \
  --scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME"

Odebrání přiřazení role

az role assignment delete \
  --assignee "$ASSIGNEE_OBJECT_ID" \
  --role "GeoCatalog Administrator" \
  --scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME"

Výpis přiřazení rolí pro GeoCatalog

az role assignment list \
  --scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME" \
  --output table

Související obsah

• Konfigurace ověřování aplikací pro Microsoft Planety Computer Pro
• Přiřazení spravované identity k prostředku GeoCatalog
• přehled řízení přístupu na základě role Azure
• Přiřazení rolí Azure pomocí Azure CLI