Roles RBAC y jerarquía de recursos predefinidos de Azure Sphere

Los recursos de Azure se administran en una jerarquía estructurada y, al aplicar un rol de usuario RBAC de Azure a un recurso de Azure determinado, se conceden los permisos para el rol para el propio recurso, así como para sus recursos secundarios. Por ejemplo, si aplica el rol de propietario RBAC a un recurso de producto, el usuario tiene permisos de propietario para el recurso de producto, así como todos los dispositivos y grupos de dispositivos secundarios.

La figura muestra la jerarquía de los tipos de recursos Azure Sphere. Los recursos de Azure Sphere incluyen catálogo, producto, grupo de dispositivos y dispositivo, y puede aplicar un rol RBAC a cualquiera de estos recursos. Tenga en cuenta que las imágenes de Azure Sphere, los certificados del catálogo y las implementaciones no son recursos independientes; permiso para esos elementos se rigen por el recurso que los posee. Por ejemplo, los permisos para implementaciones se rigen por el grupo de dispositivos propietario.

Roles RBAC integrados en Azure Sphere

Para habilitar la administración sencilla de permisos de usuario RBAC, Azure proporciona roles preconfigurados conocidos como roles integrados. Hay roles predefinidos de Azure generales que se aplican a todos los servicios, así como roles integrados personalizados para servicios específicos que se adapten a las necesidades comunes del usuario del servicio determinado, como Azure Sphere. Si su organización no cumple las necesidades de usuario por los roles integrados disponibles, puede crear roles RBAC personalizados con permisos granulares adecuados a sus necesidades empresariales.

En la tabla siguiente se describen los roles RBAC integrados en Azure Sphere.

Nombre de rol	Permisos	Uso de ejemplo
Azure Sphere Reader	Permisos de solo lectura + descargar imágenes + descargar certificado y cadena de certificados	- Asignar a un catálogo para permitir al usuario acceso de solo lectura a todos los recursos del catálogo, y para permitir al usuario descargar el certificado del catálogo y la cadena de certificados. - Asigna a un producto para permitir al usuario el acceso de solo lectura a ese producto y a sus dispositivos y grupos de dispositivos secundarios. - Asignar a un grupo de dispositivos para permitir al usuario el acceso de solo lectura a ese grupo de dispositivos y sus dispositivos secundarios
Azure Sphere Publisher	Permisos de Sphere Reader + agregar imágenes + descargar certificado de prueba de posesión + capacidades del dispositivo de descarga	- Asignar a un catálogo para permitir que un usuario agregue imágenes al catálogo, y para descargar el certificado del catálogo, la cadena de certificados y el certificado de prueba de posesión, al tiempo que limita el usuario al acceso de solo lectura para los productos secundarios del catálogo, grupos de dispositivos y dispositivos. El acceso de solo lectura a un recurso secundario determinado se puede invalidar asignando el rol Colaborador de Azure Sphere, Propietario de Azure Sphere o permisos superiores al recurso secundario - Asigne a un grupo de recursos si el usuario necesita permisos de Azure Sphere Publisher en todos los catálogos de Azure Sphere del grupo de recursos. - Cuando se asignan a productos, grupos de dispositivos y dispositivos, el rol no proporciona más que permisos de solo lectura; se recomienda asignar el rol de Azure Sphere Reader en su lugar
Colaborador de Azure Sphere	Permisos y permisos de Azure Sphere Publisher para todas las acciones de usuario de Azure Sphere en el recurso y sus recursos secundarios	- Aplicar a un grupo de recursos para usuarios con permisos altos que necesiten crear nuevos catálogos de Azure Sphere dentro de ese grupo de recursos, o integrar inquilinos existentes de Azure Sphere (heredado) al grupo de recursos. - Aplicar a un catálogo específico para usuarios que necesitan realizar todas las acciones de usuario y ver todos los recursos secundarios que pertenecen solo a ese catálogo. - Aplicar a un producto o grupo de dispositivos para usuarios que necesitan realizar todas las acciones de usuario y ver todos los recursos secundarios que pertenecen solo a ese producto o grupo de dispositivos
Azure Sphere Owner	Permisos de colaborador de Azure Sphere + Solo permisos de administración de usuarios RBAC de Azure para roles de usuario relacionados con Azure Sphere	- Aplicar a un grupo de recursos para los usuarios de Azure Sphere con permisos más altos que necesiten crear y administrar todos los recursos de Azure Sphere dentro del grupo, así como asignar roles de usuario RBAC relacionados con Azure Sphere a todos los recursos de Azure Sphere del grupo. - Aplicar a un catálogo específico para usuarios que necesitan realizar todas las acciones de usuario, ver todos los recursos secundarios que pertenecen solo a ese catálogo y asignar roles de usuario RBAC relacionados con Azure-Sphere al catálogo o a cualquiera de sus recursos secundarios. - Aplicar a un producto o grupo de dispositivos para usuarios que necesitan realizar todas las acciones de usuario y ver todos los recursos secundarios que pertenecen solo a ese producto o grupo de dispositivos, así como asignar roles de usuario RBAC relacionados con Azure-Sphere al producto o grupo de dispositivos. Nota: Los roles de usuario RBAC relacionados con Azure Sphere son: Propietario de Azure Sphere, Colaborador de Azure Sphere, Azure Sphere Publisher, Azure Sphere Reader, Colaborador de supervisión y Lector de supervisión. Los dos últimos roles se relacionan con Azure Monitor.