Verwalten des Zugriffs für Microsoft Planetary Computer Pro

In diesem Artikel erfahren Sie, wie Sie Identitäten in Microsoft Entra ID verwalten und rollenbasierte Zugriffssteuerung (RBAC) für Microsoft Planetary Computer Pro konfigurieren. Dieser Vorgang ermöglicht es dem Benutzer, bestimmten GeoCatalog-Ressourcenzugriffsberechtigungen Microsoft Entra-Identitäten zuzuweisen.

Voraussetzungen

Benutzer erstellen und verwalten

Erstellen und verwalten Sie Ihre Benutzerliste, indem Sie dem Microsoft Entra ID-Artikel "Benutzer erstellen, einladen und löschen" mit Anleitungen folgen. Nachdem Ihre Benutzer erstellt wurden, müssen Sie ihnen die entsprechenden Berechtigungen erteilen, um auf eine GeoCatalog-Ressource mit der Zuweisung einer oder mehrerer RBAC-Rollen zuzugreifen.

Planetary Computer Pro definiert zwei spezifische GeoCatalog-Ressourcenrollen zusätzlich zu den in Azure integrierten Rollen.

Rolle Beschreibung Ermöglicht die RBAC-Verwaltung?
GeoCatalog-Administrator Ermöglicht es dem Benutzer, Daten in einem GeoCatalog-Objekt zu lesen, zu schreiben und zu löschen. Nein
GeoCatalog Reader Ermöglicht dem Benutzer, nur GeoCatalogs-Daten zu lesen. Nein
Eigentümer Integrierte Azure-Rolle, die vollzugriff auf alle Ressourcen gewährt, einschließlich der Möglichkeit zum Verwalten von RBAC. Ja
Benutzerzugriffsadministrator Integrierte Azure-Rolle, die die Verwaltung des Benutzerzugriffs auf Azure-Ressourcen ermöglicht. Ja
Rollenbasierter Zugriffssteuerungsadministrator Integrierte Azure-Rolle, die die Verwaltung von RBAC-Zuweisungen und Berechtigungen ermöglicht. Ja

Hinweis

Der Besitzer ist auch ein GeoCatalog-Administrator.

Übersicht über Authentifizierung und Autorisierung

Bevor eine Identität über RBAC autorisiert werden kann, muss sie sich zuerst bei Microsoft Entra ID authentifizieren. Die Authentifizierungsmethode hängt vom Typ der Identität ab, die auf Ihren GeoCatalog zugreift:

Identitätstyp Authentifizierungsmethode Autorisieren Sie dann mit
Benutzer (Portal, CLI, Explorer) Interaktive Anmeldung (az login oder Browser OAuth2) In diesem Artikel zugewiesene RBAC-Rollen
Verwaltete Identität (Apps auf Azure) Automatisches Token über Azure Infrastruktur In diesem Artikel zugewiesene RBAC-Rollen
Dienstprinzipal (Anwendungen außerhalb von Azure) Geheimer Clientschlüssel/Zertifikat über die Entra-App-Registrierung In diesem Artikel zugewiesene RBAC-Rollen

Alle GeoCatalog-Steuerungsebenen- und Datenebenenvorgänge erfordern ein gültiges OAuth2-Bearertoken mit dem user_impersonation Bereich. Ausführliche Informationen zum Einrichten pro Szenario finden Sie unter Konfigurieren der Anwendungsauthentifizierung. Weitere Informationen zu Azure RBAC-Konzepten finden Sie unter Azure rollenbasierten Zugriffssteuerungsübersicht.

Einem Benutzer eine rollenbasierte Zugriffskontrolle zuweisen

Sie können das Azure-Portal verwenden, um RBAC-Rollen für Planetary Computer Pro-Benutzer zuzuweisen. In diesem Abschnitt wird veranschaulicht, wie Sie die GeoCatalog Access Control (IAM) -Steuerelemente verwenden, um einem oder mehreren Benutzern die Rolle " GeoCatalog-Administrator " zuzuweisen.

  1. Wechseln Sie im Azure-Portal in der linken Randleiste zur Registerkarte "GeoCatalog Resource Access Control (IAM) ":

    Screenshot des IAM-Blatts im Azure-Portal zum Konfigurieren von RBAC.

  2. Wählen Sie Hinzufügen>Rollenzuweisung hinzufügen aus.

  3. Wählen Sie GeoCatalog-Administrator aus der Liste der Rollenfunktionen und klicken Sie unten auf der Seite auf die Schaltfläche Weiter.

    Screenshot der Optionen für die Rollenzuweisung von RBAC-Rollen im Azure-Portal.

  4. Optionsfeld des Benutzers, der Gruppe oder des Dienstprinzipalsauswählen:

    Screenshot des Abschnitts

  5. Wählen Sie Mitglieder auswählen aus.

  6. Suchen Sie im Bereich " Mitglieder auswählen ", der auf der rechten Seite angezeigt wird, nach dem Benutzer. Wählen Sie einen Namen oder eine Identität aus der Liste aus, um ihn der Liste der ausgewählten Mitglieder hinzuzufügen. Wiederholen Sie diesen Schritt für alle Benutzer, denen diese Rolle zugewiesen werden muss.

  7. Wenn alle Benutzer, für die Sie diese Rolle zuweisen müssen, ausgewählt sind, verwenden Sie die Schaltfläche "Auswählen " am unteren Rand des Bereichs, um den Bereich zu schließen.

  8. Wählen Sie unten auf der Seite Weiter aus.

  9. Überprüfen Sie die Informationen, und schließen Sie die Aufgabe ab, indem Sie "Überprüfen" und "Zuweisen" auswählen.

Jetzt können die ausgewählten Benutzer über das Azure-Portal oder APIs auf die GeoCatalog-Ressource zugreifen.

Zuweisen von Rollen mithilfe der Azure CLI

Sie können RBAC-Rollen auch mithilfe der Azure CLI zuweisen, die die ARM-Steuerebenen-API (Microsoft.Authorization/roleAssignments) aufruft.

Zuweisen einer Rolle

# Define variables
SUBSCRIPTION_ID="{your-subscription-id}"
RESOURCE_GROUP="{your-resource-group}"
GEOCATALOG_NAME="{your-geocatalog-name}"
ASSIGNEE_OBJECT_ID="{user-or-service-principal-object-id}"

# GeoCatalog Administrator role definition ID
ROLE_DEFINITION_ID="$(az role definition list --name "GeoCatalog Administrator" --query "[0].id" -o tsv)"

# Assign the role scoped to the GeoCatalog resource
az role assignment create \
  --assignee-object-id "$ASSIGNEE_OBJECT_ID" \
  --role "$ROLE_DEFINITION_ID" \
  --scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME"

Entfernen einer Rollenzuweisung

az role assignment delete \
  --assignee "$ASSIGNEE_OBJECT_ID" \
  --role "GeoCatalog Administrator" \
  --scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME"

Rollenzuweisungen für GeoCatalog auflisten

az role assignment list \
  --scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME" \
  --output table

Verwandte Inhalte

  • Zuletzt aktualisiert um