Grundlegendes zu Azure-Rollendefinitionen

Artikel
02/12/2024

Wenn Sie die Funktionsweise eine Azure-Rolle nachvollziehen oder eine eigene benutzerdefinierte Azure-Rolle erstellen möchten, ist es hilfreich zu verstehen, wie Rollen definiert werden. Dieser Artikel geht ausführlich auf Rollendefinitionen ein und enthält einige Beispiele.

Rollendefinition

Eine Rollendefinition ist eine Sammlung von Berechtigungen. Gelegentlich wird sie auch einfach als Rolle bezeichnet. Eine Rollendefinition listet die ausführbaren Aktionen wie etwa Lesen, Schreiben und Löschen auf. Unter Umständen werden außerdem die Aktionen aufgeführt, die nicht zugelassen sind oder im Zusammenhang mit den zugrunde liegenden Daten stehen.

Nachstehend finden Sie ein Beispiel für die in einer Rollendefinition enthaltenen Eigenschaften, wenn diese mit Azure PowerShell angezeigt wird:

Name
Id
IsCustom
Description
Actions []
NotActions []
DataActions []
NotDataActions []
AssignableScopes []
Condition
ConditionVersion

Im Folgenden finden Sie ein Beispiel für die in einer Rollendefinition enthaltenen Eigenschaften, wenn diese mit der Azure-Befehlszeilenschnittstelle oder der REST-API angezeigt wird:

roleName
name
id
roleType
type
description
actions []
notActions []
dataActions []
notDataActions []
assignableScopes []
condition
conditionVersion
createdOn
updatedOn
createdBy
updatedBy

In der folgenden Tabelle wird erläutert, was die einzelnen Eigenschaften bedeuten.

Eigenschaft	Beschreibung
`Name` `roleName`	Anzeigename der Rolle
`Id` `name`	Eindeutige ID der Rolle Integrierte Rollen verfügen cloudübergreifend über die gleiche Rollen-ID.
`id`	Vollqualifizierte eindeutige ID der Rolle
`IsCustom` `roleType`	Gibt an, ob dies eine benutzerdefinierte Rolle ist Legen Sie die Eigenschaft für benutzerdefinierte Rollen auf `true` oder `CustomRole` fest. Legen Sie die Eigenschaft für integrierte Rollen auf `false` oder `BuiltInRole` fest.
`type`	Typ des Objekts. Auf `Microsoft.Authorization/roleDefinitions` festlegen.
`Description` `description`	Beschreibung der Rolle
`Actions` `actions`	Ein Array von Zeichenfolgen, das die Aktionen auf Steuerungsebene angibt, deren Ausführung die Rolle zulässt
`NotActions` `notActions`	Array von Zeichenfolgen, das die Aktionen auf Steuerungsebene angibt, die von den zulässigen `Actions` ausgeschlossen sind
`DataActions` `dataActions`	Array von Zeichenfolgen, das die Aktionen auf Datenebene angibt, deren Ausführung für Ihre Daten innerhalb des Objekts die Rolle zulässt
`NotDataActions` `notDataActions`	Array von Zeichenfolgen, das die Aktionen auf Datenebene angibt, die von den zulässigen `DataActions` ausgeschlossen sind
`AssignableScopes` `assignableScopes`	Array aus Zeichenfolgen zum Angeben der Bereiche, in denen die Rolle zur Zuweisung verfügbar ist.
`Condition` `condition`	Für integrierte Rollen basiert die Bedingungsanweisung auf mindestens einer Aktion in der Rollendefinition.
`ConditionVersion` `conditionVersion`	Versionsnummer der Bedingung. Der Standardwert lautet 2.0 und ist die einzige öffentlich unterstützte Version.
`createdOn`	Datum und Uhrzeit der Erstellung der Rolle
`updatedOn`	Datum und Uhrzeit der letzten Änderung der Rolle
`createdBy`	Bei benutzerdefinierten Rollen der Prinzipal, der die Rolle erstellt hat
`updatedBy`	Bei benutzerdefinierten Rollen, der Prinzipal, der die Rolle geändert hat

Aktionsformat

Aktionen werden mit Zeichenfolgen im folgenden Format angegeben:

{Company}.{ProviderName}/{resourceType}/{action}

Der Teil {action} einer Aktionszeichenfolge gibt den Typ der Aktionen an, die Sie für einen Ressourcentyp ausführen können. So weist {action} beispielsweise folgende Teilzeichenfolgen auf:

Aktionsteilzeichenfolge	Beschreibung
`*`	Das Platzhalterzeichen gewährt Zugriff auf alle Aktionen, die der Zeichenfolge entsprechen.
`read`	Ermöglicht Leseaktionen (GET)
`write`	Ermöglicht Schreibaktionen (PUT oder PATCH)
`action`	Ermöglicht benutzerdefinierte Aktionen wie das Neustarten von VMs (POST)
`delete`	Ermöglicht Löschaktionen (DELETE)

Beispiel für eine Rollendefinition

Im folgenden Codeausschnitt finden Sie die Definition für die Rolle Mitwirkender, so wie sie in Azure PowerShell und in der Azure CLI angezeigt wird. Die Platzhalteraktionen (*) unter Actions geben an, dass der Prinzipal, der dieser Rolle zugewiesen ist, alle Aktionen ausführen und somit alles verwalten kann. Dies schließt auch Aktionen ein, die später definiert werden, wenn Azure neue Ressourcentypen hinzufügt. Die Aktionen unter NotActions werden von den Actions abgezogen. Im Fall der Rolle Mitwirkender sorgt NotActions dafür, dass die Rolle weder den Zugriff auf Ressourcen noch die Zuweisungen für Azure Blueprints verwalten kann.

Rolle „Mitwirkender“, so wie sie in Azure PowerShell angezeigt wird:

{
  "Name": "Contributor",
  "Id": "b24988ac-6180-42a0-ab88-20f7382dd24c",
  "IsCustom": false,
  "Description": "Grants full access to manage all resources, but does not allow you to assign roles in Azure RBAC, manage assignments in Azure Blueprints, or share image galleries.",
  "Actions": [
    "*"
  ],
  "NotActions": [
    "Microsoft.Authorization/*/Delete",
    "Microsoft.Authorization/*/Write",
    "Microsoft.Authorization/elevateAccess/Action",
    "Microsoft.Blueprint/blueprintAssignments/write",
    "Microsoft.Blueprint/blueprintAssignments/delete",
    "Microsoft.Compute/galleries/share/action",
    "Microsoft.Purview/consents/write",
    "Microsoft.Purview/consents/delete"
  ],
  "DataActions": [],
  "NotDataActions": [],
  "AssignableScopes": [
    "/"
  ],
  "Condition": null,
  "ConditionVersion": null
}

Rolle „Mitwirkender“, so wie sie in der Azure CLI angezeigt wird:

[
  {
    "assignableScopes": [
      "/"
    ],
    "createdBy": null,
    "createdOn": "2015-02-02T21:55:09.880642+00:00",
    "description": "Grants full access to manage all resources, but does not allow you to assign roles in Azure RBAC, manage assignments in Azure Blueprints, or share image galleries.",
    "id": "/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/roleDefinitions/b24988ac-6180-42a0-ab88-20f7382dd24c",
    "name": "b24988ac-6180-42a0-ab88-20f7382dd24c",
    "permissions": [
      {
        "actions": [
          "*"
        ],
        "condition": null,
        "conditionVersion": null,
        "dataActions": [],
        "notActions": [
          "Microsoft.Authorization/*/Delete",
          "Microsoft.Authorization/*/Write",
          "Microsoft.Authorization/elevateAccess/Action",
          "Microsoft.Blueprint/blueprintAssignments/write",
          "Microsoft.Blueprint/blueprintAssignments/delete",
          "Microsoft.Compute/galleries/share/action",
          "Microsoft.Purview/consents/write",
          "Microsoft.Purview/consents/delete"
        ],
        "notDataActions": []
      }
    ],
    "roleName": "Contributor",
    "roleType": "BuiltInRole",
    "type": "Microsoft.Authorization/roleDefinitions",
    "updatedBy": null,
    "updatedOn": "2023-07-10T15:10:53.947865+00:00"
  }
]

Aktionen auf Steuerungs- und Datenebene

Die rollenbasierte Zugriffssteuerung für Aktionen auf Steuerungsebene wird in den Eigenschaften Actions und NotActions einer Rollendefinition angegeben. Im Folgenden finden Sie einige Beispiele für Aktionen auf Steuerungsebene in Azure:

Verwalten des Zugriffs auf ein Speicherkonto
Erstellen, Aktualisieren oder Löschen eines Blobcontainers
Löschen einer Ressourcengruppe und aller dazugehörigen Ressourcen

Der Zugriff auf Steuerungsebene wird nicht von Ihren Daten geerbt, wenn die Methode für die Containerauthentifizierung auf Azure AD-Benutzerkonto und nicht auf Zugriffsschlüssel festgelegt ist. Diese Trennung verhindert, dass Rollen mit Platzhaltern (*) uneingeschränkten Zugriff auf Ihre Daten erhalten. Wenn einem Benutzer also beispielsweise die Rolle Leser für ein Abonnement zugewiesen ist, kann er das Speicherkonto anzeigen, aber standardmäßig nicht die zugrunde liegenden Daten.

Vorher wurde die rollenbasierte Zugriffssteuerung nicht bei Datenaktionen verwendet. Die Autorisierung bei Datenaktionen variiert je nach Ressourcenanbieter. Das gleiche Autorisierungsmodell mit rollenbasierter Zugriffssteuerung, das für Aktionen auf Steuerungsebene gilt, wurde auf die Aktionen auf Datenebene erweitert.

Zur Unterstützung von Aktionen auf Datenebene wurden der Rollendefinition neue Dateneigenschaften hinzugefügt. Aktionen auf Datenebene werden in den Eigenschaften DataActions und NotDataActions angegeben. Durch Hinzufügen dieser Dateneigenschaften wird die Trennung zwischen Steuerungs- und Datenebene beibehalten. Hierdurch wird verhindert, dass aktuelle Rollenzuweisungen mit Platzhaltern (*) plötzlich Zugriff auf Daten erhalten. Im Folgenden werden einige Aktionen auf Datenebene aufgeführt, die in DataActions und NotDataActions angegeben werden können:

Lesen einer Liste von Blobs in einem Container
Schreiben eines Speicherblobs in einem Container
Löschen einer Nachricht in einer Warteschlange

Dies ist die Rollendefinition Storage-Blobdatenleser, die Aktionen in der Actions-Eigenschaft und der DataActions-Eigenschaft umfasst. In dieser Rolle können Sie den Blobcontainer sowie die zugrunde liegenden Blobdaten lesen.

Rolle „Storage-Blobdatenleser“, so wie sie in Azure PowerShell angezeigt wird:

{
  "Name": "Storage Blob Data Reader",
  "Id": "2a2b9908-6ea1-4ae2-8e65-a410df84e7d1",
  "IsCustom": false,
  "Description": "Allows for read access to Azure Storage blob containers and data",
  "Actions": [
    "Microsoft.Storage/storageAccounts/blobServices/containers/read",
    "Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey/action"
  ],
  "NotActions": [],
  "DataActions": [
    "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read"
  ],
  "NotDataActions": [],
  "AssignableScopes": [
    "/"
  ],
  "Condition": null,
  "ConditionVersion": null
}

Rolle „Storage-Blobdatenleser“, so wie sie in der Azure CLI angezeigt wird:

[
  {
    "assignableScopes": [
      "/"
    ],
    "createdBy": null,
    "createdOn": "2017-12-21T00:01:24.797231+00:00",
    "description": "Allows for read access to Azure Storage blob containers and data",
    "id": "/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/roleDefinitions/2a2b9908-6ea1-4ae2-8e65-a410df84e7d1",
    "name": "2a2b9908-6ea1-4ae2-8e65-a410df84e7d1",
    "permissions": [
      {
        "actions": [
          "Microsoft.Storage/storageAccounts/blobServices/containers/read",
          "Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey/action"
        ],
        "condition": null,
        "conditionVersion": null,
        "dataActions": [
          "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read"
        ],
        "notActions": [],
        "notDataActions": []
      }
    ],
    "roleName": "Storage Blob Data Reader",
    "roleType": "BuiltInRole",
    "type": "Microsoft.Authorization/roleDefinitions",
    "updatedBy": null,
    "updatedOn": "2021-11-11T20:13:55.297507+00:00"
  }
]

Den Eigenschaften DataActions und NotDataActions können nur Aktionen auf Datenebene hinzugefügt werden. Durch Festlegen der isDataAction-Eigenschaft auf true identifizieren Ressourcenanbieter, bei welchen Aktionen es sich um Datenaktionen handelt. Wie Sie eine Liste der Aktionen anzeigen, in denen isDataAction auf true festgelegt ist, erfahren Sie unter Vorgänge für Ressourcenanbieter. Bei Rollen ohne Datenaktionen sind die Eigenschaften DataActions und NotDataActions in der Rollendefinition nicht erforderlich.

Die Autorisierung für alle API-Aufrufe auf Steuerungsebene wird von Azure Resource Manager verarbeitet. Die Autorisierung für API-Aufrufe auf Datenebene wird von einem Ressourcenanbieter oder von Azure Resource Manager verarbeitet.

Beispiel für Datenaktionen

Sehen Sie sich ein spezielles Beispiel an, um die Funktionsweise von Aktionen auf Steuerungs- und Datenebene besser zu verstehen. Alice wurde die Rolle Besitzer im Abonnementbereich zugewiesen. Bob wurde die Rolle Mitwirkender an Storage-Blobdaten in einem Speicherkontobereich zugewiesen. Die folgende Abbildung veranschaulicht dieses Beispiel.

Role-based access control has been extended to support both control plane and data plane actions

Die Rolle Besitzer für Alice und die Rolle Mitwirkender an Storage-Blobdaten für Bob verfügen über die folgenden Aktionen:

Besitzer

Aktionen
*

Mitwirkender an Speicherblobdaten

    Aktionen
    Microsoft.Storage/storageAccounts/blobServices/containers/delete
    Microsoft.Storage/storageAccounts/blobServices/containers/read
    Microsoft.Storage/storageAccounts/blobServices/containers/write
    Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey/action
    DataActions
    Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete
    Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read
    Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write
    Microsoft.Storage/storageAccounts/blobServices/containers/blobs/move/action
    Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action

Da Alice über eine Platzhalteraktion (*) im Geltungsbereich eines Abonnements verfügt, werden die Berechtigungen nach unten vererbt, um ihr die Durchführung aller Aktionen auf Steuerungsebene zu ermöglichen. Alice kann Container lesen, schreiben und löschen. Alice kann jedoch keine Aktionen auf Datenebene durchführen, ohne zusätzliche Schritte zu unternehmen. Beispielsweise kann Alice standardmäßig die Blobs innerhalb eines Containers nicht lesen. Um die Blobs lesen zu können, müsste Alice die Speicherzugriffsschlüssel abrufen und damit auf die Blobs zugreifen.

Die Berechtigungen von Bob sind ausschließlich auf Actions und DataActions beschränkt, die in der Rolle Mitwirkenden an Storage-Blobdaten angegeben sind. Basierend auf der Rolle kann Bob Aktionen auf Steuerungs- und Datenebene durchführen. Beispielsweise kann Bob Container im angegebenen Speicherkonto lesen, schreiben und löschen und zudem die Blobs lesen, schreiben und löschen.

Weitere Informationen zur Sicherheit auf Steuerungs- und Datenebene für den Speicher finden Sie im Azure Storage-Sicherheitsleitfaden.

Welche Tools unterstützen die Verwendung von Azure-Rollen für Datenaktionen?

Um Datenaktionen anzuzeigen und zu verwenden, müssen Sie über die richtigen Tool- oder SDK-Versionen verfügen:

Tool	Version
Azure PowerShell	1.1.0 oder höher
Azure-Befehlszeilenschnittstelle	2.0.30 oder höher
Azure für .NET	2.8.0-preview oder höher
Azure SDK für Go	15.0.0 oder höher
Azure für Java	1.9.0 oder höher
Azure für Python	0.40.0 oder höher
Azure SDK für Ruby	0.17.1 oder höher

Um die Datenaktionen in der REST-API anzuzeigen und zu verwenden, müssen Sie den Parameter api-version auf die folgende oder eine höhere Version festlegen:

2018-07-01

Aktionen

Die Berechtigung Actions gibt die Aktionen auf Steuerungsebene an, deren Ausführung die Rolle zulässt. Es handelt sich um eine Sammlung von Zeichenfolgen, mit denen sicherungsfähige Aktionen von Azure-Ressourcenanbietern identifiziert werden. Im Folgenden finden Sie einige Beispiele für Aktionen auf Steuerungsebene, die in Actions verwendet werden können.

Aktionszeichenfolge	Beschreibung
`*/read`	Gewährt Zugriff auf Leseaktionen für alle Ressourcentypen aller Azure-Ressourcenanbieter
`Microsoft.Compute/*`	Gewährt Zugriff auf alle Aktionen für alle Ressourcentypen im Microsoft.Compute-Ressourcenanbieter
`Microsoft.Network/*/read`	Gewährt Zugriff auf Leseaktionen für alle Ressourcentypen im Microsoft.Network-Ressourcenanbieter
`Microsoft.Compute/virtualMachines/*`	Gewährt Zugriff auf alle Aktionen für VMs und die zugehörigen untergeordneten Ressourcentypen
`microsoft.web/sites/restart/Action`	Gewährt Zugriff zum Neustarten einer Web-App.

NotActions

Die Berechtigung NotActions gibt die Aktionen auf Steuerungsebene an, die von den zulässigen Aktionen (Actions) abgezogen oder ausgeschlossen werden, die einen Platzhalter (*) enthalten. Verwenden Sie die Berechtigung NotActions, wenn sich die Aktionen, die Sie zulassen möchten, einfacher durch das Abziehen von Actions, die einen Platzhalter (*) enthalten, definieren lässt. Zur Ermittlung des Zugriffs, der durch eine Rolle gewährt wird (effektive Berechtigungen), werden die Aktionen in NotActions von denen in Actions abgezogen.

Actions - NotActions = Effective control plane permissions

In der folgenden Tabelle werden zwei Beispiele für die effektiven Berechtigungen auf Steuerungsebene für eine Microsoft.CostManagement-Platzhalteraktion angezeigt:

Aktionen	NotActions	Effektive Berechtigungen auf Steuerungsebene
`Microsoft.CostManagement/exports/*`	none	`Microsoft.CostManagement/exports/action` `Microsoft.CostManagement/exports/read` `Microsoft.CostManagement/exports/write` `Microsoft.CostManagement/exports/delete` `Microsoft.CostManagement/exports/run/action`
`Microsoft.CostManagement/exports/*`	`Microsoft.CostManagement/exports/delete`	`Microsoft.CostManagement/exports/action` `Microsoft.CostManagement/exports/read` `Microsoft.CostManagement/exports/write` `Microsoft.CostManagement/exports/run/action`

Hinweis

Wenn Benutzer*innen eine Rolle zugewiesen wird, die eine Aktion in NotActions ausschließt, und ihnen dann durch Zuweisen einer zweiten Rolle der Zugriff auf diese Aktion gewährt wird, können die Benutzer*innen die Aktion ausführen. NotActions ist keine Verweigerungsregel, sondern bietet lediglich eine bequeme Möglichkeit, eine Gruppe zulässiger Aktionen zu erstellen, wenn bestimmte Aktionen ausgeschlossen werden müssen.

Unterschiede zwischen NoActions und Ablehnungszuweisungen

NotActions und Ablehnungszuweisungen sind nicht identisch und dienen unterschiedlichen Zwecken. NotActions stellen eine bequeme Möglichkeit dar, um bestimmte Aktionen von einer Platzhalteraktion (*) auszuschließen.

Ablehnungszuweisungen blockieren Aktionen für bestimmte Benutzer, selbst wenn diesen durch eine Rollenzuweisung Zugriff erteilt wurde. Weitere Informationen finden Sie unter Verstehen von Ablehnungszuweisungen für Azure-Ressourcen.

DataActions

Die Berechtigung DataActions gibt die Aktionen auf Datenebene an, deren Ausführung für Ihre Daten innerhalb des Objekts die Rolle zulässt. Wenn ein Benutzer z.B. über Lesezugriff auf Blobdaten auf ein Speicherkonto verfügt, kann er die Blobs in diesem Speicherkonto dann lesen. Im Anschluss finden Sie einige Beispiele für Datenaktionen, die in DataActions verwendet werden können.

Datenaktionszeichenfolge	Beschreibung
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read`	Gibt ein Blob oder eine Liste von Blobs zurück.
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write`	Gibt das Ergebnis beim Schreiben eines Blobs zurück.
`Microsoft.Storage/storageAccounts/queueServices/queues/messages/read`	Gibt eine Nachricht zurück.
`Microsoft.Storage/storageAccounts/queueServices/queues/messages/*`	Gibt eine Nachricht oder das Ergebnis beim Schreiben oder Löschen einer Nachricht zurück.

NotDataActions

Die Berechtigung NotDataActions gibt die Aktionen auf Datenebene an, die von den zulässigen Aktionen (DataActions) abgezogen oder ausgeschlossen werden, die einen Platzhalter (*) enthalten. Verwenden Sie die Berechtigung NotDataActions, wenn sich die Aktionen, die Sie zulassen möchten, einfacher durch das Abziehen von DataActions, die einen Platzhalter (*) enthalten, definieren lässt. Zur Ermittlung des Zugriffs, der durch eine Rolle gewährt wird (effektive Berechtigungen), werden die Aktionen in NotDataActions von denen in DataActions abgezogen. Jedem Ressourcenanbieter stehen entsprechende APIs zur Verfügung, um Datenaktionen durchzuführen.

DataActions - NotDataActions = Effective data plane permissions

In der folgenden Tabelle werden zwei Beispiele für die effektiven Berechtigungen auf der Datenebene für eine Microsoft.Storage-Platzhalteraktion gezeigt:

DataActions	NotDataActions	Effektive Berechtigungen auf Datenebene
`Microsoft.Storage/storageAccounts/queueServices/queues/messages/*`	none	`Microsoft.Storage/storageAccounts/queueServices/queues/messages/read` `Microsoft.Storage/storageAccounts/queueServices/queues/messages/write` `Microsoft.Storage/storageAccounts/queueServices/queues/messages/delete` `Microsoft.Storage/storageAccounts/queueServices/queues/messages/add/action` `Microsoft.Storage/storageAccounts/queueServices/queues/messages/process/action`
`Microsoft.Storage/storageAccounts/queueServices/queues/messages/*`	`Microsoft.Storage/storageAccounts/queueServices/queues/messages/delete`	`Microsoft.Storage/storageAccounts/queueServices/queues/messages/read` `Microsoft.Storage/storageAccounts/queueServices/queues/messages/write` `Microsoft.Storage/storageAccounts/queueServices/queues/messages/add/action` `Microsoft.Storage/storageAccounts/queueServices/queues/messages/process/action`

Hinweis

Wenn Benutzer*innen eine Rolle zugewiesen wird, die eine Datenaktion in NotDataActions ausschließt, und ihnen dann durch Zuweisen einer zweiten Rolle der Zugriff auf diese Datenaktion gewährt wird, können die Benutzer*innen die Datenaktion ausführen. NotDataActions ist keine Verweigerungsregel, sondern bietet lediglich eine bequeme Möglichkeit, eine Gruppe zulässiger Datenaktionen zu erstellen, wenn bestimmte Datenaktionen ausgeschlossen werden müssen.

AssignableScopes

Die AssignableScopes-Eigenschaft gibt die Bereiche (Stamm, Verwaltungsgruppen, Abonnements oder Ressourcengruppen) an, in denen eine Rollendefinition zugewiesen werden kann. Sie können eine benutzerdefinierte Rolle nur in den für Sie erforderlichen Verwaltungsgruppen, Abonnements oder Ressourcengruppen für die Zuweisung zur Verfügung stellen. Sie müssen mindestens eine Verwaltungsgruppe, ein Abonnement oder eine Ressourcengruppe verwenden.

Wenn AssignableScopes beispielsweise auf ein Abonnement festgelegt ist, bedeutet dies, dass die benutzerdefinierte Rolle für die Zuordnung im Abonnementbereich für das angegebene Abonnement, den Ressourcengruppenbereich für jede Ressourcengruppe im Abonnement oder den Ressourcenbereich für jede Ressource im Abonnement verfügbar ist.

Bei integrierten Rollen ist AssignableScopes auf den Stammbereich ("/") festgelegt. Der Stammbereich gibt an, dass die Rolle für die Zuweisung in allen Bereichen verfügbar ist.

Beispiele für gültige zuweisbare Bereiche:

Rolle ist für die Zuweisung verfügbar	Beispiel
Ein Abonnement	`"/subscriptions/{subscriptionId1}"`
Zwei Abonnements	`"/subscriptions/{subscriptionId1}", "/subscriptions/{subscriptionId2}"`
Netzwerkressourcengruppe	`"/subscriptions/{subscriptionId1}/resourceGroups/Network"`
Eine Verwaltungsgruppe	`"/providers/Microsoft.Management/managementGroups/{groupId1}"`
Verwaltungsgruppe und ein Abonnement	`"/providers/Microsoft.Management/managementGroups/{groupId1}", "/subscriptions/{subscriptionId1}",`
Alle Bereiche (gilt nur für integrierte Rollen)	`"/"`

Sie können in AssignableScopes einer benutzerdefinierten Rolle nur eine einzige Verwaltungsgruppe definieren.

Obwohl es möglich ist, eine benutzerdefinierte Rolle mit einer Ressourceninstanz mithilfe AssignableScopes der Befehlszeile zu erstellen, empfiehlt es sich nicht. Jeder Mandant unterstützt maximal 5.000 benutzerdefinierte Rollen. Die Verwendung dieser Strategie könnte möglicherweise Ihre verfügbaren benutzerdefinierten Rollen ausschöpfen. Letztlich wird die Zugriffsstufe durch die benutzerdefinierte Rollenzuweisung (Bereich + Rollenberechtigungen + Sicherheitsprinzipal) und nicht durch die in der benutzerdefinierten Rolle aufgeführten AssignableScopes bestimmt. Erstellen Sie also Ihre benutzerdefinierten Rollen mit AssignableScopes der Verwaltungsgruppe, Abonnement oder Ressourcengruppe, weisen sie jedoch die benutzerdefinierten Rollen mit schmalem Bereich wie Ressourcen oder Ressourcengruppe zu.

Weitere Informationen zu AssignableScopes für benutzerdefinierte Rollen finden Sie unter Benutzerdefinierte Azure-Rollen.

Definition der Rolle „Administrator für privilegierte Rollen“

Privilegierte Administratorrollen sind Rollen, die privilegierten Administratorzugriff gewähren, z. B. die Möglichkeit, Azure-Ressourcen zu verwalten oder anderen Benutzer*innen Rollen zuzuweisen. Wenn eine integrierte oder benutzerdefinierte Rolle eine der folgenden Aktionen enthält, gilt sie als privilegiert. Weitere Informationen finden Sie unter Auflisten oder Verwalten der Zuweisungen privilegierter Administratorrollen.

Aktionszeichenfolge	Beschreibung
`*`	Erstellen und Verwalten von Ressourcen aller Typen
`*/delete`	Löschen Sie Ressourcen aller Typen.
`*/write`	Schreiben Sie Ressourcen aller Typen.
`Microsoft.Authorization/denyAssignments/delete`	Hiermit wird eine Ablehnungszuweisung mit dem angegebenen Bereich gelöscht.
`Microsoft.Authorization/denyAssignments/write`	Hiermit wird eine Ablehnungszuweisung mit dem angegebenen Bereich erstellt.
`Microsoft.Authorization/roleAssignments/delete`	Dient zum Löschen einer Rollenzuweisung im angegebenen Bereich.
`Microsoft.Authorization/roleAssignments/write`	Dient zum Erstellen einer Rollenzuweisung im angegebenen Bereich.
`Microsoft.Authorization/roleDefinitions/delete`	Dient zum Löschen der angegebenen benutzerdefinierten Rollendefinition.
`Microsoft.Authorization/roleDefinitions/write`	Dient zum Erstellen oder Aktualisieren einer benutzerdefinierten Rollendefinition mit angegebenen Berechtigungen und zuweisbaren Bereichen.