Roles RBAC integrados para operaciones de IoT

Azure IoT Operations (AIO) ofrece dos roles integrados diseñados para simplificar y proteger la administración del acceso para los recursos de AIO: Administrador de operaciones de Azure IoT e Incorporación de operaciones de Azure IoT. Si el escenario requiere acceso más pormenorizado, puede crear un rol RBAC personalizado.

Importante

Los roles integrados para AIO simplifican la administración de acceso para los recursos de AIO, pero no conceden permisos automáticamente para todas las dependencias de Azure necesarias. AIO se basa en varios servicios de Azure, como Azure Key Vault, Azure Storage, Azure Arc y otros. Revise y asigne siempre los roles adicionales necesarios para asegurarse de que los usuarios tienen acceso de un extremo a otro para una implementación y operación correctas de AIO.

Rol de administrador de operaciones de Azure IoT

El rol Administrador de operaciones de Azure IoT proporciona permisos completos para administrar y operar todos los componentes de Azure IoT Operations. Asigne este rol a los usuarios que necesitan acceso completo para usar recursos de AIO. Para admitir la implementación y la administración continua de AIO, los usuarios requieren permisos adicionales. Si un usuario solo necesita usar AIO, puede asignar solo el rol Administrador.

Al asignar este rol integrado, debe asegurarse de que los siguientes roles también están asignados al usuario:

• Rol de administrador del Centro de hardware de Azure Edge: este rol concede acceso para administrar y tomar medidas como administrador de pedidos perimetrales. Se usa para ordenar y administrar dispositivos de Azure Stack Edge.
• Rol de usuario de clúster de Kubernetes habilitado para Azure Arc: Este rol se usa para administrar clústeres de Kubernetes habilitados para Azure Arc al proporcionar permiso para escribir implementaciones, administrar suscripciones y controlar clústeres y extensiones conectados.
• Rol de administrador de Key Vault: Este rol permite al usuario administrar todos los aspectos de Azure Key Vault, incluida la creación, el mantenimiento, la visualización y eliminación de claves, certificados y secretos.
• Rol colaborador de la extensión de Kubernetes: Este rol permite a los usuarios administrar extensiones de Kubernetes, incluida la creación, actualización y eliminación de extensiones.
• Rol colaborador de identidad administrada: Este rol permite al usuario administrar identidades administradas, incluida la creación, actualización y eliminación de identidades administradas asignadas por el usuario.
• Rol colaborador de supervisión: Este rol permite al usuario leer todos los datos de supervisión y actualizar la configuración de supervisión.
• Rol colaborador del grupo de recursos: este rol concede permisos para administrar recursos dentro de un grupo de recursos, incluida la creación, actualización y eliminación de recursos.
• Rol de propietario de la extensión del almacén de secretos: este rol permite al usuario administrar la extensión secrets Store, que sincroniza los secretos de Azure Key Vault con clústeres de Kubernetes.
• Rol colaborador de la cuenta de almacenamiento: Este rol permite al usuario administrar cuentas de almacenamiento, incluida la creación, actualización y eliminación de cuentas de almacenamiento, así como la administración de claves de acceso y otras configuraciones.

Rol de incorporación de operaciones de Azure IoT

La incorporación de AIO es un rol especializado que proporciona los permisos necesarios para implementar componentes de Azure IoT Operations.

Al asignar este rol integrado, debe asegurarse de que los siguientes roles también están asignados al usuario:

• Rol de implementación de Azure Resource Bridge: Este rol se usa para administrar la implementación de Azure Resource Bridge. Incluye permisos para leer, escribir y eliminar varios recursos relacionados con el Puente de recursos, como dispositivos, ubicaciones y configuraciones de telemetría.
• Clúster de Kubernetes: rol de incorporación de Azure Arc: Este rol se usa para incorporar clústeres de Kubernetes a Azure Arc.
• Rol colaborador de la cuenta de almacenamiento: Este rol permite al usuario administrar cuentas de almacenamiento, incluida la creación, actualización y eliminación de cuentas de almacenamiento, así como la administración de claves de acceso y otras configuraciones.
• Rol colaborador del grupo de recursos: este rol concede permisos para administrar recursos dentro de un grupo de recursos, incluida la creación, actualización y eliminación de recursos.
• Rol de usuario de clúster de Kubernetes habilitado para Azure Arc: Este rol se usa para administrar clústeres de Kubernetes habilitados para Azure Arc al proporcionar permiso para escribir implementaciones, administrar suscripciones y controlar clústeres y extensiones conectados.