Roles integrados de Azure para seguridad

Artículo
04/25/2024

En este artículo se enumeran los roles integrados de Azure en la categoría Seguridad.

Administrador de automatización del cumplimiento de la aplicación

Crear, leer, descargar, modificar y eliminar objetos de informes y otros objetos de recursos relacionados.

Acciones	Descripción
Microsoft.AppComplianceAutomation/*
Microsoft.Storage/storageAccounts/blobServices/write	Devuelve el resultado de las propiedades de colocación de Blob service.
Microsoft.Storage/storageAccounts/fileservices/write	Coloca las propiedades de File service.
Microsoft.Storage/storageAccounts/listKeys/action	Devuelve las claves de acceso de la cuenta de almacenamiento especificada.
Microsoft.Storage/storageAccounts/write	Crea una cuenta de almacenamiento con los parámetros especificados o actualiza las propiedades o etiquetas, o agrega un dominio personalizado para la cuenta de almacenamiento especificada.
Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey/action	Devuelve una clave de delegación de usuario para el servicio de blob.
Microsoft.Storage/storageAccounts/read	Devuelve la lista de cuentas de almacenamiento u obtiene las propiedades de la cuenta de almacenamiento especificada.
Microsoft.Storage/storageAccounts/blobServices/containers/read	Devuelve una lista de contenedores.
Microsoft.Storage/storageAccounts/blobServices/containers/write	Devuelve el resultado del contenedor de blobs de colocación.
Microsoft.Storage/storageAccounts/blobServices/read	Devuelve las propiedades o las estadísticas de Blob service.
Microsoft.Policy Ideas/policyStates/queryResults/action	Consulta información acerca de estados de directivas.
Microsoft.Policy Ideas/policyStates/triggerEvaluation/action	Desencadena una nueva evaluación de cumplimiento para el ámbito seleccionado.
Microsoft.Resources/resources/read	Obtiene la lista de recursos en función de los filtros.
Microsoft.Resources/subscriptions/read	Obtiene la lista de suscripciones.
Microsoft.Resources/subscriptions/resourceGroups/read	Obtiene o enumera los grupos de recursos.
Microsoft.Resources/subscriptions/resourceGroups/resources/read	Obtiene los recursos del grupo de recursos.
Microsoft.Resources/subscriptions/resources/read	Obtiene recursos de una suscripción.
Microsoft.Resources/subscriptions/resourceGroups/delete	Elimina un grupo de recursos y todos sus recursos.
Microsoft.Resources/subscriptions/resourceGroups/write	Crea o actualiza un grupo de recursos.
Microsoft.Resources/tags/read	Obtiene todas las etiquetas de un recurso.
Microsoft.Resources/deployments/validate/action	Valida una implementación.
Microsoft.Security/automations/read	Obtiene las automatizaciones del ámbito.
Microsoft.Resources/deployments/write	Crea o actualiza una implementación.
Microsoft.Security/automations/delete	Elimina la automatización del ámbito.
Microsoft.Security/automations/write	Crea o actualiza la automatización del ámbito.
Microsoft.Security/register/action	Registra la suscripción de Azure Security Center.
Microsoft.Security/unregister/action	Anula el registro de la suscripción de Azure Security Center.
*/read	Leer recursos de todos los tipos, excepto secretos.
NotActions
none
DataActions
none
NotDataActions
none

{
  "assignableScopes": [
    "/"
  ],
  "description": "Create, read, download, modify and delete reports objects and related other resource objects.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/0f37683f-2463-46b6-9ce7-9b788b988ba2",
  "name": "0f37683f-2463-46b6-9ce7-9b788b988ba2",
  "permissions": [
    {
      "actions": [
        "Microsoft.AppComplianceAutomation/*",
        "Microsoft.Storage/storageAccounts/blobServices/write",
        "Microsoft.Storage/storageAccounts/fileservices/write",
        "Microsoft.Storage/storageAccounts/listKeys/action",
        "Microsoft.Storage/storageAccounts/write",
        "Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey/action",
        "Microsoft.Storage/storageAccounts/read",
        "Microsoft.Storage/storageAccounts/blobServices/containers/read",
        "Microsoft.Storage/storageAccounts/blobServices/containers/write",
        "Microsoft.Storage/storageAccounts/blobServices/read",
        "Microsoft.PolicyInsights/policyStates/queryResults/action",
        "Microsoft.PolicyInsights/policyStates/triggerEvaluation/action",
        "Microsoft.Resources/resources/read",
        "Microsoft.Resources/subscriptions/read",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Resources/subscriptions/resourceGroups/resources/read",
        "Microsoft.Resources/subscriptions/resources/read",
        "Microsoft.Resources/subscriptions/resourceGroups/delete",
        "Microsoft.Resources/subscriptions/resourceGroups/write",
        "Microsoft.Resources/tags/read",
        "Microsoft.Resources/deployments/validate/action",
        "Microsoft.Security/automations/read",
        "Microsoft.Resources/deployments/write",
        "Microsoft.Security/automations/delete",
        "Microsoft.Security/automations/write",
        "Microsoft.Security/register/action",
        "Microsoft.Security/unregister/action",
        "*/read"
      ],
      "notActions": [],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "App Compliance Automation Administrator",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Lector de automatización del cumplimiento de la aplicación

Leer, descargar los objetos de informes y otros objetos de recursos relacionados.

Más información

Acciones	Descripción
*/read	Leer recursos de todos los tipos, excepto secretos.
NotActions
none
DataActions
none
NotDataActions
none

{
  "assignableScopes": [
    "/"
  ],
  "description": "Read, download the reports objects and related other resource objects.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/ffc6bbe0-e443-4c3b-bf54-26581bb2f78e",
  "name": "ffc6bbe0-e443-4c3b-bf54-26581bb2f78e",
  "permissions": [
    {
      "actions": [
        "*/read"
      ],
      "notActions": [],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "App Compliance Automation Reader",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Colaborador de atestación

Puede leer, escribir o eliminar la instancia del proveedor de atestación

Más información

Acciones	Descripción
Microsoft.Attestation/attestationProviders/attestation/read	Obtiene el estado del servicio de atestación.
Microsoft.Attestation/attestationProviders/attestation/write	Agrega el servicio de atestación.
Microsoft.Attestation/attestationProviders/attestation/delete	Quita el servicio de atestación.
NotActions
none
DataActions
none
NotDataActions
none

{
  "assignableScopes": [
    "/"
  ],
  "description": "Can read write or delete the attestation provider instance",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/bbf86eb8-f7b4-4cce-96e4-18cddf81d86e",
  "name": "bbf86eb8-f7b4-4cce-96e4-18cddf81d86e",
  "permissions": [
    {
      "actions": [
        "Microsoft.Attestation/attestationProviders/attestation/read",
        "Microsoft.Attestation/attestationProviders/attestation/write",
        "Microsoft.Attestation/attestationProviders/attestation/delete"
      ],
      "notActions": [],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "Attestation Contributor",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Lector de atestación

No se pueden leer las propiedades del proveedor de atestación

Más información

Acciones	Descripción
Microsoft.Attestation/attestationProviders/attestation/read	Obtiene el estado del servicio de atestación.
NotActions
none
DataActions
none
NotDataActions
none

{
  "assignableScopes": [
    "/"
  ],
  "description": "Can read the attestation provider properties",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/fd1bd22b-8476-40bc-a0bc-69b95687b9f3",
  "name": "fd1bd22b-8476-40bc-a0bc-69b95687b9f3",
  "permissions": [
    {
      "actions": [
        "Microsoft.Attestation/attestationProviders/attestation/read"
      ],
      "notActions": [],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "Attestation Reader",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Administrador de Key Vault

Permite realizar todas las operaciones de plano de datos en un almacén de claves y en todos los objetos que contiene, incluidos los certificados, las claves y los secretos. No permite administrar los recursos del almacén de claves ni administrar las asignaciones de roles. Solo funciona para almacenes de claves que usan el modelo de permisos "Control de acceso basado en rol de Azure".

Más información

Acciones	Descripción
Microsoft.Authorization/*/read	Leer roles y asignaciones de roles
Microsoft.Insights/alertRules/*	Creación y administración de una alerta de métricas clásica
Microsoft.Resources/deployments/*	Creación y administración de una implementación
Microsoft.Resources/subscriptions/resourceGroups/read	Obtiene o enumera los grupos de recursos.
Microsoft.Support/*	Creación y actualización de una incidencia de soporte técnico
Microsoft.KeyVault/checkNameAvailability/read	Comprueba que un nombre de almacén de claves es válido y que no está en uso
Microsoft.KeyVault/deletedVaults/read	Ve las propiedades de los almacenes de claves eliminados temporalmente
Microsoft.KeyVault/locations/*/read
Microsoft.KeyVault/vaults/*/read
Microsoft.KeyVault/operations/read	Enumera las operaciones disponibles en el proveedor de recursos de Microsoft.KeyVault.
NotActions
none
DataActions
Microsoft.KeyVault/vaults/*
NotDataActions
none

{
  "assignableScopes": [
    "/"
  ],
  "description": "Perform all data plane operations on a key vault and all objects in it, including certificates, keys, and secrets. Cannot manage key vault resources or manage role assignments. Only works for key vaults that use the 'Azure role-based access control' permission model.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/00482a5a-887f-4fb3-b363-3b7fe8e74483",
  "name": "00482a5a-887f-4fb3-b363-3b7fe8e74483",
  "permissions": [
    {
      "actions": [
        "Microsoft.Authorization/*/read",
        "Microsoft.Insights/alertRules/*",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Support/*",
        "Microsoft.KeyVault/checkNameAvailability/read",
        "Microsoft.KeyVault/deletedVaults/read",
        "Microsoft.KeyVault/locations/*/read",
        "Microsoft.KeyVault/vaults/*/read",
        "Microsoft.KeyVault/operations/read"
      ],
      "notActions": [],
      "dataActions": [
        "Microsoft.KeyVault/vaults/*"
      ],
      "notDataActions": []
    }
  ],
  "roleName": "Key Vault Administrator",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Usuario de certificado de Key Vault

Leer el contenido del certificado. Solo funciona para almacenes de claves que usan el modelo de permisos "Control de acceso basado en rol de Azure".

Más información

Acciones	Descripción
none
NotActions
none
DataActions
Microsoft.KeyVault/vaults/certificates/read	Muestra los certificados de un almacén de claves especificado u obtiene la información sobre un certificado.
Microsoft.KeyVault/vaults/secrets/getSecret/action	Obtiene el valor de un secreto.
Microsoft.KeyVault/vaults/secrets/readMetadata/action	Permite enumerar o ver las propiedades de un secreto, pero no su valor.
Microsoft.KeyVault/vaults/keys/read	Muestra las claves del almacén especificado, o lee las propiedades y el material público de una clave. En el caso de las claves asimétricas, esta operación expone la clave pública e incluye la posibilidad de realizar algoritmos de clave pública, como cifrar y comprobar una firma. Las claves privadas y las simétricas no se exponen nunca.
NotDataActions
none

{
  "assignableScopes": [
    "/"
  ],
  "description": "Read certificate contents. Only works for key vaults that use the 'Azure role-based access control' permission model.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/db79e9a7-68ee-4b58-9aeb-b90e7c24fcba",
  "name": "db79e9a7-68ee-4b58-9aeb-b90e7c24fcba",
  "permissions": [
    {
      "actions": [],
      "notActions": [],
      "dataActions": [
        "Microsoft.KeyVault/vaults/certificates/read",
        "Microsoft.KeyVault/vaults/secrets/getSecret/action",
        "Microsoft.KeyVault/vaults/secrets/readMetadata/action",
        "Microsoft.KeyVault/vaults/keys/read"
      ],
      "notDataActions": []
    }
  ],
  "roleName": "Key Vault Certificate User",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Agente de certificados de Key Vault

Permite realizar cualquier acción en los certificados de un almacén de claves, excepto administrar permisos. Solo funciona para almacenes de claves que usan el modelo de permisos "Control de acceso basado en rol de Azure".

Más información

Acciones	Descripción
Microsoft.Authorization/*/read	Leer roles y asignaciones de roles
Microsoft.Insights/alertRules/*	Creación y administración de una alerta de métricas clásica
Microsoft.Resources/deployments/*	Creación y administración de una implementación
Microsoft.Resources/subscriptions/resourceGroups/read	Obtiene o enumera los grupos de recursos.
Microsoft.Support/*	Creación y actualización de una incidencia de soporte técnico
Microsoft.KeyVault/checkNameAvailability/read	Comprueba que un nombre de almacén de claves es válido y que no está en uso
Microsoft.KeyVault/deletedVaults/read	Ve las propiedades de los almacenes de claves eliminados temporalmente
Microsoft.KeyVault/locations/*/read
Microsoft.KeyVault/vaults/*/read
Microsoft.KeyVault/operations/read	Enumera las operaciones disponibles en el proveedor de recursos de Microsoft.KeyVault.
NotActions
none
DataActions
Microsoft.KeyVault/vaults/certificatecas/*
Microsoft.KeyVault/vaults/certificates/*
Microsoft.KeyVault/vaults/certificatecontacts/write	Administra un contacto de certificado.
NotDataActions
none

{
  "assignableScopes": [
    "/"
  ],
  "description": "Perform any action on the certificates of a key vault, except manage permissions. Only works for key vaults that use the 'Azure role-based access control' permission model.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/a4417e6f-fecd-4de8-b567-7b0420556985",
  "name": "a4417e6f-fecd-4de8-b567-7b0420556985",
  "permissions": [
    {
      "actions": [
        "Microsoft.Authorization/*/read",
        "Microsoft.Insights/alertRules/*",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Support/*",
        "Microsoft.KeyVault/checkNameAvailability/read",
        "Microsoft.KeyVault/deletedVaults/read",
        "Microsoft.KeyVault/locations/*/read",
        "Microsoft.KeyVault/vaults/*/read",
        "Microsoft.KeyVault/operations/read"
      ],
      "notActions": [],
      "dataActions": [
        "Microsoft.KeyVault/vaults/certificatecas/*",
        "Microsoft.KeyVault/vaults/certificates/*",
        "Microsoft.KeyVault/vaults/certificatecontacts/write"
      ],
      "notDataActions": []
    }
  ],
  "roleName": "Key Vault Certificates Officer",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Colaborador de almacén de claves

Permite administrar almacenes de claves, per no asignar roles en Azure RBAC ni acceder a secretos, claves o certificados.

Más información

Acciones	Descripción
Microsoft.Authorization/*/read	Leer roles y asignaciones de roles
Microsoft.Insights/alertRules/*	Creación y administración de una alerta de métricas clásica
Microsoft.KeyVault/*
Microsoft.Resources/deployments/*	Creación y administración de una implementación
Microsoft.Resources/subscriptions/resourceGroups/read	Obtiene o enumera los grupos de recursos.
Microsoft.Support/*	Creación y actualización de una incidencia de soporte técnico
NotActions
Microsoft.KeyVault/locations/deletedVaults/purge/action	Purga un almacén de claves eliminado temporalmente
Microsoft.KeyVault/hsmPools/*
Microsoft.KeyVault/managedHsms/*
DataActions
none
NotDataActions
none

{
  "assignableScopes": [
    "/"
  ],
  "description": "Lets you manage key vaults, but not access to them.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/f25e0fa2-a7c8-4377-a976-54943a77a395",
  "name": "f25e0fa2-a7c8-4377-a976-54943a77a395",
  "permissions": [
    {
      "actions": [
        "Microsoft.Authorization/*/read",
        "Microsoft.Insights/alertRules/*",
        "Microsoft.KeyVault/*",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Support/*"
      ],
      "notActions": [
        "Microsoft.KeyVault/locations/deletedVaults/purge/action",
        "Microsoft.KeyVault/hsmPools/*",
        "Microsoft.KeyVault/managedHsms/*"
      ],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "Key Vault Contributor",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Agente criptográfico de Key Vault

Permite realizar cualquier acción en las claves de un almacén de claves, excepto administrar permisos. Solo funciona para almacenes de claves que usan el modelo de permisos "Control de acceso basado en rol de Azure".

Más información

Acciones	Descripción
Microsoft.Authorization/*/read	Leer roles y asignaciones de roles
Microsoft.Insights/alertRules/*	Creación y administración de una alerta de métricas clásica
Microsoft.Resources/deployments/*	Creación y administración de una implementación
Microsoft.Resources/subscriptions/resourceGroups/read	Obtiene o enumera los grupos de recursos.
Microsoft.Support/*	Creación y actualización de una incidencia de soporte técnico
Microsoft.KeyVault/checkNameAvailability/read	Comprueba que un nombre de almacén de claves es válido y que no está en uso
Microsoft.KeyVault/deletedVaults/read	Ve las propiedades de los almacenes de claves eliminados temporalmente
Microsoft.KeyVault/locations/*/read
Microsoft.KeyVault/vaults/*/read
Microsoft.KeyVault/operations/read	Enumera las operaciones disponibles en el proveedor de recursos de Microsoft.KeyVault.
NotActions
none
DataActions
Microsoft.KeyVault/vaults/keys/*
Microsoft.KeyVault/vaults/keyrotationpolicies/*
NotDataActions
none

{
  "assignableScopes": [
    "/"
  ],
  "description": "Perform any action on the keys of a key vault, except manage permissions. Only works for key vaults that use the 'Azure role-based access control' permission model.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/14b46e9e-c2b7-41b4-b07b-48a6ebf60603",
  "name": "14b46e9e-c2b7-41b4-b07b-48a6ebf60603",
  "permissions": [
    {
      "actions": [
        "Microsoft.Authorization/*/read",
        "Microsoft.Insights/alertRules/*",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Support/*",
        "Microsoft.KeyVault/checkNameAvailability/read",
        "Microsoft.KeyVault/deletedVaults/read",
        "Microsoft.KeyVault/locations/*/read",
        "Microsoft.KeyVault/vaults/*/read",
        "Microsoft.KeyVault/operations/read"
      ],
      "notActions": [],
      "dataActions": [
        "Microsoft.KeyVault/vaults/keys/*",
        "Microsoft.KeyVault/vaults/keyrotationpolicies/*"
      ],
      "notDataActions": []
    }
  ],
  "roleName": "Key Vault Crypto Officer",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Usuario de cifrado de servicio criptográfico de Key Vault

Permite leer los metadatos de las claves y realizar operaciones de encapsulado/desencapsulado. Solo funciona para almacenes de claves que usan el modelo de permisos "Control de acceso basado en rol de Azure".

Más información

Acciones	Descripción
Microsoft.EventGrid/eventSubscriptions/write	Crea o actualiza una suscripción a eventos.
Microsoft.EventGrid/eventSubscriptions/read	Lee una clase eventSubscription.
Microsoft.EventGrid/eventSubscriptions/delete	Elimina una suscripción a eventos.
NotActions
none
DataActions
Microsoft.KeyVault/vaults/keys/read	Muestra las claves del almacén especificado, o lee las propiedades y el material público de una clave. En el caso de las claves asimétricas, esta operación expone la clave pública e incluye la posibilidad de realizar algoritmos de clave pública, como cifrar y comprobar una firma. Las claves privadas y las simétricas no se exponen nunca.
Microsoft.KeyVault/vaults/keys/wrap/action	Permite encapsular una clave simétrica con una clave de Key Vault. Tenga en cuenta que, si la clave de Key Vault es asimétrica, esta operación la pueden realizar entidades de seguridad con acceso de lectura.
Microsoft.KeyVault/vaults/keys/unwrap/action	Permite desencapsular una clave simétrica con una clave de Key Vault.
NotDataActions
none

{
  "assignableScopes": [
    "/"
  ],
  "description": "Read metadata of keys and perform wrap/unwrap operations. Only works for key vaults that use the 'Azure role-based access control' permission model.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/e147488a-f6f5-4113-8e2d-b22465e65bf6",
  "name": "e147488a-f6f5-4113-8e2d-b22465e65bf6",
  "permissions": [
    {
      "actions": [
        "Microsoft.EventGrid/eventSubscriptions/write",
        "Microsoft.EventGrid/eventSubscriptions/read",
        "Microsoft.EventGrid/eventSubscriptions/delete"
      ],
      "notActions": [],
      "dataActions": [
        "Microsoft.KeyVault/vaults/keys/read",
        "Microsoft.KeyVault/vaults/keys/wrap/action",
        "Microsoft.KeyVault/vaults/keys/unwrap/action"
      ],
      "notDataActions": []
    }
  ],
  "roleName": "Key Vault Crypto Service Encryption User",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Usuario de la versión de servicio criptográfica de Key Vault

Liberar claves. Solo funciona para almacenes de claves que usan el modelo de permisos "Control de acceso basado en rol de Azure".

Más información

Acciones	Descripción
none
NotActions
none
DataActions
Microsoft.KeyVault/vaults/keys/release/action	Libera una clave mediante la parte pública de KEK desde el token de atestación.
NotDataActions
none

{
  "assignableScopes": [
    "/"
  ],
  "description": "Release keys. Only works for key vaults that use the 'Azure role-based access control' permission model.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/08bbd89e-9f13-488c-ac41-acfcb10c90ab",
  "name": "08bbd89e-9f13-488c-ac41-acfcb10c90ab",
  "permissions": [
    {
      "actions": [],
      "notActions": [],
      "dataActions": [
        "Microsoft.KeyVault/vaults/keys/release/action"
      ],
      "notDataActions": []
    }
  ],
  "roleName": "Key Vault Crypto Service Release User",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Usuario criptográfico de Key Vault

Permite realizar operaciones criptográficas mediante claves. Solo funciona para almacenes de claves que usan el modelo de permisos "Control de acceso basado en rol de Azure".

Más información

Acciones	Descripción
none
NotActions
none
DataActions
Microsoft.KeyVault/vaults/keys/read	Muestra las claves del almacén especificado, o lee las propiedades y el material público de una clave. En el caso de las claves asimétricas, esta operación expone la clave pública e incluye la posibilidad de realizar algoritmos de clave pública, como cifrar y comprobar una firma. Las claves privadas y las simétricas no se exponen nunca.
Microsoft.KeyVault/vaults/keys/update/action	Actualiza los atributos especificados asociados con la clave dada.
Microsoft.KeyVault/vaults/keys/backup/action	Crea el archivo de copia de seguridad de una clave. El archivo se puede usar para restaurar la clave en una instancia de Key Vault de la misma suscripción. Pueden aplicarse restricciones.
Microsoft.KeyVault/vaults/keys/encrypt/action	Cifra el texto no cifrado con una clave. Tenga en cuenta que, si la clave es asimétrica, esta operación la pueden realizar entidades de seguridad con acceso de lectura.
Microsoft.KeyVault/vaults/keys/decrypt/action	Descifra el texto cifrado con una clave.
Microsoft.KeyVault/vaults/keys/wrap/action	Permite encapsular una clave simétrica con una clave de Key Vault. Tenga en cuenta que, si la clave de Key Vault es asimétrica, esta operación la pueden realizar entidades de seguridad con acceso de lectura.
Microsoft.KeyVault/vaults/keys/unwrap/action	Permite desencapsular una clave simétrica con una clave de Key Vault.
Microsoft.KeyVault/vaults/keys/sign/action	Firma una síntesis del mensaje (hash) con una clave.
Microsoft.KeyVault/vaults/keys/verify/action	Comprueba la firma de una síntesis del mensaje (hash) con una clave. Tenga en cuenta que, si la clave es asimétrica, esta operación la pueden realizar entidades de seguridad con acceso de lectura.
NotDataActions
none

{
  "assignableScopes": [
    "/"
  ],
  "description": "Perform cryptographic operations using keys. Only works for key vaults that use the 'Azure role-based access control' permission model.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/12338af0-0e69-4776-bea7-57ae8d297424",
  "name": "12338af0-0e69-4776-bea7-57ae8d297424",
  "permissions": [
    {
      "actions": [],
      "notActions": [],
      "dataActions": [
        "Microsoft.KeyVault/vaults/keys/read",
        "Microsoft.KeyVault/vaults/keys/update/action",
        "Microsoft.KeyVault/vaults/keys/backup/action",
        "Microsoft.KeyVault/vaults/keys/encrypt/action",
        "Microsoft.KeyVault/vaults/keys/decrypt/action",
        "Microsoft.KeyVault/vaults/keys/wrap/action",
        "Microsoft.KeyVault/vaults/keys/unwrap/action",
        "Microsoft.KeyVault/vaults/keys/sign/action",
        "Microsoft.KeyVault/vaults/keys/verify/action"
      ],
      "notDataActions": []
    }
  ],
  "roleName": "Key Vault Crypto User",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Administrador de acceso a datos de Key Vault

Administre el acceso a Azure Key Vault mediante la adición o eliminación de asignaciones de roles para el administrador de Key Vault, el oficial de certificados de Key Vault, el oficial de cifrado de Key Vault, el usuario de cifrado del servicio criptográfico de Key Vault, el usuario criptográfico de Key Vault, el lector de Key Vault, el oficial de secretos de Key Vault o los roles de usuario de secretos de Key Vault. Incluye una condición de ABAC para restringir las asignaciones de roles.

Acciones	Descripción
Microsoft.Authorization/roleAssignments/write	Crea una asignación de roles en el ámbito especificado.
Microsoft.Authorization/roleAssignments/delete	Elimine una asignación de roles en el ámbito especificado.
Microsoft.Authorization/*/read	Leer roles y asignaciones de roles
Microsoft.Resources/deployments/*	Creación y administración de una implementación
Microsoft.Resources/subscriptions/resourceGroups/read	Obtiene o enumera los grupos de recursos.
Microsoft.Resources/subscriptions/read	Obtiene la lista de suscripciones.
Microsoft.Management/managementGroups/read	Enumera los grupos de administración del usuario autenticado.
Microsoft.Resources/deployments/*	Creación y administración de una implementación
Microsoft.Support/*	Creación y actualización de una incidencia de soporte técnico
Microsoft.KeyVault/vaults/*/read
NotActions
none
DataActions
none
NotDataActions
none
Condición
((! (ActionMatches{'Microsoft.Authorization/roleAssignments/write'})) OR (@Request[Microsoft.Authorization/roleAssignments:RoleDefinitionId] ForAnyOfAnyValues:GuidEquals{00482a5a-887f-4fb3-b363-3b7fe8e74483, a4417e6f-fecd-4de8-b567-7b0420556985, 14b46e9e-c2b7-41b4-b07b-48a6ebf60603, e147488a-f6f5-4113-8e2d-b22465e65bf6, 12338af0-0e69-4776-bea7-57ae8d297424, 21090545-7ca7-4776-b22c-e363652d74d2, b86a8fe4-44ce-4948-aee5-eccb2c155cd7, 4633458b-17de-408a-b874-0445c86b69e6})) AND ((!( ActionMatches{'Microsoft.Authorization/roleAssignments/delete'})) OR (@Resource[Microsoft.Authorization/roleAssignments:RoleDefinitionId] ForAnyOfAnyValues:GuidEquals{00482a5a-887f-4fb3-b363-3b7fe8e74483, a4417e6f-fecd-4de8-b567-7b0420556985, 14b46e9e-c2b7-41b4-b07b-48a6ebf60603, e147488a-f6f5-4113-8e2d-b22465e65bf6, 12338af0-0e69-4776-bea7-57ae8d297424, 21090545-7ca7-4776-b22c-e363652d74d2, b86a8fe4-44ce-4948-aee5-eccb2c155cd7, 4633458b-17de-408a-b874-0445c86b69e6}))	Agregue o quite asignaciones de roles para los roles siguientes: Administrador de Key Vault Agente de certificados de Key Vault Agente criptográfico de Key Vault Usuario de cifrado de servicio criptográfico de Key Vault Usuario criptográfico de Key Vault Lector de Key Vault Agente de secretos de Key Vault Usuario de secretos de Key Vault

{
  "assignableScopes": [
    "/"
  ],
  "description": "Manage access to Azure Key Vault by adding or removing role assignments for the Key Vault Administrator, Key Vault Certificates Officer, Key Vault Crypto Officer, Key Vault Crypto Service Encryption User, Key Vault Crypto User, Key Vault Reader, Key Vault Secrets Officer, or Key Vault Secrets User roles. Includes an ABAC condition to constrain role assignments.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/8b54135c-b56d-4d72-a534-26097cfdc8d8",
  "name": "8b54135c-b56d-4d72-a534-26097cfdc8d8",
  "permissions": [
    {
      "actions": [
        "Microsoft.Authorization/roleAssignments/write",
        "Microsoft.Authorization/roleAssignments/delete",
        "Microsoft.Authorization/*/read",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Resources/subscriptions/read",
        "Microsoft.Management/managementGroups/read",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Support/*",
        "Microsoft.KeyVault/vaults/*/read"
      ],
      "notActions": [],
      "dataActions": [],
      "notDataActions": [],
      "conditionVersion": "2.0",
      "condition": "((!(ActionMatches{'Microsoft.Authorization/roleAssignments/write'})) OR (@Request[Microsoft.Authorization/roleAssignments:RoleDefinitionId] ForAnyOfAnyValues:GuidEquals{00482a5a-887f-4fb3-b363-3b7fe8e74483, a4417e6f-fecd-4de8-b567-7b0420556985, 14b46e9e-c2b7-41b4-b07b-48a6ebf60603, e147488a-f6f5-4113-8e2d-b22465e65bf6, 12338af0-0e69-4776-bea7-57ae8d297424, 21090545-7ca7-4776-b22c-e363652d74d2, b86a8fe4-44ce-4948-aee5-eccb2c155cd7, 4633458b-17de-408a-b874-0445c86b69e6})) AND ((!(ActionMatches{'Microsoft.Authorization/roleAssignments/delete'})) OR (@Resource[Microsoft.Authorization/roleAssignments:RoleDefinitionId] ForAnyOfAnyValues:GuidEquals{00482a5a-887f-4fb3-b363-3b7fe8e74483, a4417e6f-fecd-4de8-b567-7b0420556985, 14b46e9e-c2b7-41b4-b07b-48a6ebf60603, e147488a-f6f5-4113-8e2d-b22465e65bf6, 12338af0-0e69-4776-bea7-57ae8d297424, 21090545-7ca7-4776-b22c-e363652d74d2, b86a8fe4-44ce-4948-aee5-eccb2c155cd7, 4633458b-17de-408a-b874-0445c86b69e6}))"
    }
  ],
  "roleName": "Key Vault Data Access Administrator",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Lector de Key Vault

Permite leer metadatos de almacenes de claves y sus certificados, claves y secretos. No se pueden leer valores confidenciales, como el contenido de los secretos o el material de las claves. Solo funciona para almacenes de claves que usan el modelo de permisos "Control de acceso basado en rol de Azure".

Más información

Acciones	Descripción
Microsoft.Authorization/*/read	Leer roles y asignaciones de roles
Microsoft.Insights/alertRules/*	Creación y administración de una alerta de métricas clásica
Microsoft.Resources/deployments/*	Creación y administración de una implementación
Microsoft.Resources/subscriptions/resourceGroups/read	Obtiene o enumera los grupos de recursos.
Microsoft.Support/*	Creación y actualización de una incidencia de soporte técnico
Microsoft.KeyVault/checkNameAvailability/read	Comprueba que un nombre de almacén de claves es válido y que no está en uso
Microsoft.KeyVault/deletedVaults/read	Ve las propiedades de los almacenes de claves eliminados temporalmente
Microsoft.KeyVault/locations/*/read
Microsoft.KeyVault/vaults/*/read
Microsoft.KeyVault/operations/read	Enumera las operaciones disponibles en el proveedor de recursos de Microsoft.KeyVault.
NotActions
none
DataActions
Microsoft.KeyVault/vaults/*/read
Microsoft.KeyVault/vaults/secrets/readMetadata/action	Permite enumerar o ver las propiedades de un secreto, pero no su valor.
NotDataActions
none

{
  "assignableScopes": [
    "/"
  ],
  "description": "Read metadata of key vaults and its certificates, keys, and secrets. Cannot read sensitive values such as secret contents or key material. Only works for key vaults that use the 'Azure role-based access control' permission model.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/21090545-7ca7-4776-b22c-e363652d74d2",
  "name": "21090545-7ca7-4776-b22c-e363652d74d2",
  "permissions": [
    {
      "actions": [
        "Microsoft.Authorization/*/read",
        "Microsoft.Insights/alertRules/*",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Support/*",
        "Microsoft.KeyVault/checkNameAvailability/read",
        "Microsoft.KeyVault/deletedVaults/read",
        "Microsoft.KeyVault/locations/*/read",
        "Microsoft.KeyVault/vaults/*/read",
        "Microsoft.KeyVault/operations/read"
      ],
      "notActions": [],
      "dataActions": [
        "Microsoft.KeyVault/vaults/*/read",
        "Microsoft.KeyVault/vaults/secrets/readMetadata/action"
      ],
      "notDataActions": []
    }
  ],
  "roleName": "Key Vault Reader",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Agente de secretos de Key Vault

Permite realizar cualquier acción en los secretos de un almacén de claves, excepto administrar permisos. Solo funciona para almacenes de claves que usan el modelo de permisos "Control de acceso basado en rol de Azure".

Más información

Acciones	Descripción
Microsoft.Authorization/*/read	Leer roles y asignaciones de roles
Microsoft.Insights/alertRules/*	Creación y administración de una alerta de métricas clásica
Microsoft.Resources/deployments/*	Creación y administración de una implementación
Microsoft.Resources/subscriptions/resourceGroups/read	Obtiene o enumera los grupos de recursos.
Microsoft.Support/*	Creación y actualización de una incidencia de soporte técnico
Microsoft.KeyVault/checkNameAvailability/read	Comprueba que un nombre de almacén de claves es válido y que no está en uso
Microsoft.KeyVault/deletedVaults/read	Ve las propiedades de los almacenes de claves eliminados temporalmente
Microsoft.KeyVault/locations/*/read
Microsoft.KeyVault/vaults/*/read
Microsoft.KeyVault/operations/read	Enumera las operaciones disponibles en el proveedor de recursos de Microsoft.KeyVault.
NotActions
none
DataActions
Microsoft.KeyVault/vaults/secrets/*
NotDataActions
none

{
  "assignableScopes": [
    "/"
  ],
  "description": "Perform any action on the secrets of a key vault, except manage permissions. Only works for key vaults that use the 'Azure role-based access control' permission model.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/b86a8fe4-44ce-4948-aee5-eccb2c155cd7",
  "name": "b86a8fe4-44ce-4948-aee5-eccb2c155cd7",
  "permissions": [
    {
      "actions": [
        "Microsoft.Authorization/*/read",
        "Microsoft.Insights/alertRules/*",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Support/*",
        "Microsoft.KeyVault/checkNameAvailability/read",
        "Microsoft.KeyVault/deletedVaults/read",
        "Microsoft.KeyVault/locations/*/read",
        "Microsoft.KeyVault/vaults/*/read",
        "Microsoft.KeyVault/operations/read"
      ],
      "notActions": [],
      "dataActions": [
        "Microsoft.KeyVault/vaults/secrets/*"
      ],
      "notDataActions": []
    }
  ],
  "roleName": "Key Vault Secrets Officer",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Usuario de secretos de Key Vault

Permite leer el contenido de los secretos. Solo funciona para almacenes de claves que usan el modelo de permisos "Control de acceso basado en rol de Azure".

Más información

Acciones	Descripción
none
NotActions
none
DataActions
Microsoft.KeyVault/vaults/secrets/getSecret/action	Obtiene el valor de un secreto.
Microsoft.KeyVault/vaults/secrets/readMetadata/action	Permite enumerar o ver las propiedades de un secreto, pero no su valor.
NotDataActions
none

{
  "assignableScopes": [
    "/"
  ],
  "description": "Read secret contents. Only works for key vaults that use the 'Azure role-based access control' permission model.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/4633458b-17de-408a-b874-0445c86b69e6",
  "name": "4633458b-17de-408a-b874-0445c86b69e6",
  "permissions": [
    {
      "actions": [],
      "notActions": [],
      "dataActions": [
        "Microsoft.KeyVault/vaults/secrets/getSecret/action",
        "Microsoft.KeyVault/vaults/secrets/readMetadata/action"
      ],
      "notDataActions": []
    }
  ],
  "roleName": "Key Vault Secrets User",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Colaborador de HSM administrado

Permite administrar grupos de HSM administrados, pero no accede a ellas.

Más información

Acciones	Descripción
Microsoft.KeyVault/managedHSMs/*
Microsoft.KeyVault/deletedManagedHsms/read	Permite ver las propiedades de un HSM administrado eliminado.
Microsoft.KeyVault/locations/deletedManagedHsms/read	Permite ver las propiedades de un HSM administrado eliminado.
Microsoft.KeyVault/locations/deletedManagedHsms/purge/action	Purga un HSM administrado eliminado temporalmente.
Microsoft.KeyVault/locations/managedHsmOperationResults/read	Comprueba el resultado de una operación de larga ejecución
NotActions
none
DataActions
none
NotDataActions
none

{
  "assignableScopes": [
    "/"
  ],
  "description": "Lets you manage managed HSM pools, but not access to them.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/18500a29-7fe2-46b2-a342-b16a415e101d",
  "name": "18500a29-7fe2-46b2-a342-b16a415e101d",
  "permissions": [
    {
      "actions": [
        "Microsoft.KeyVault/managedHSMs/*",
        "Microsoft.KeyVault/deletedManagedHsms/read",
        "Microsoft.KeyVault/locations/deletedManagedHsms/read",
        "Microsoft.KeyVault/locations/deletedManagedHsms/purge/action",
        "Microsoft.KeyVault/locations/managedHsmOperationResults/read"
      ],
      "notActions": [],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "Managed HSM contributor",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Colaborador de automatización de Microsoft Sentinel

Más información

Acciones	Descripción
Microsoft.Authorization/*/read	Leer roles y asignaciones de roles
Microsoft.Logic/workflows/triggers/read	Lee el desencadenador.
Microsoft.Logic/workflows/triggers/listCallbackUrl/action	Obtiene la dirección URL de devolución de llamada para el desencadenador.
Microsoft.Logic/workflows/runs/read	Lee la ejecución de flujo de trabajo.
Microsoft.Web/sites/hostruntime/webhooks/api/workflows/triggers/read	Enumera los desencadenadores del flujo de trabajo de Hostruntime de Web Apps.
Microsoft.Web/sites/hostruntime/webhooks/api/workflows/triggers/listCallbackUrl/action	Obtiene los desencadenadores del flujo de trabajo de Hostruntime de Web Apps.
Microsoft.Web/sites/hostruntime/webhooks/api/workflows/runs/read	Enumera las ejecuciones del flujo de trabajo de Hostruntime de Web Apps.
NotActions
none
DataActions
none
NotDataActions
none

{
  "assignableScopes": [
    "/"
  ],
  "description": "Microsoft Sentinel Automation Contributor",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/f4c81013-99ee-4d62-a7ee-b3f1f648599a",
  "name": "f4c81013-99ee-4d62-a7ee-b3f1f648599a",
  "permissions": [
    {
      "actions": [
        "Microsoft.Authorization/*/read",
        "Microsoft.Logic/workflows/triggers/read",
        "Microsoft.Logic/workflows/triggers/listCallbackUrl/action",
        "Microsoft.Logic/workflows/runs/read",
        "Microsoft.Web/sites/hostruntime/webhooks/api/workflows/triggers/read",
        "Microsoft.Web/sites/hostruntime/webhooks/api/workflows/triggers/listCallbackUrl/action",
        "Microsoft.Web/sites/hostruntime/webhooks/api/workflows/runs/read"
      ],
      "notActions": [],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "Microsoft Sentinel Automation Contributor",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Colaborador de Microsoft Sentinel

Más información

Acciones	Descripción
Microsoft.SecurityInsights/*
Microsoft.OperationalInsights/workspaces/analytics/query/action	Realiza búsquedas mediante el nuevo motor.
Microsoft.OperationalInsights/workspaces/*/read	Consulta datos de Log Analytics.
Microsoft.OperationalInsights/workspaces/savedSearches/*
Microsoft.OperationsManagement/solutions/read	Obtención de una solución de OMS existente
Microsoft.OperationalInsights/workspaces/query/read	Ejecuta consultas en los datos del área de trabajo.
Microsoft.OperationalInsights/workspaces/query/*/read
Microsoft.OperationalInsights/workspaces/dataSources/read	Obtenga el origen de datos en un área de trabajo.
Microsoft.OperationalInsights/querypacks/*/read
Microsoft.Insights/workbooks/*
Microsoft.Insights/myworkbooks/read
Microsoft.Authorization/*/read	Leer roles y asignaciones de roles
Microsoft.Insights/alertRules/*	Creación y administración de una alerta de métricas clásica
Microsoft.Resources/deployments/*	Creación y administración de una implementación
Microsoft.Resources/subscriptions/resourceGroups/read	Obtiene o enumera los grupos de recursos.
Microsoft.Support/*	Creación y actualización de una incidencia de soporte técnico
NotActions
Microsoft.SecurityInsights/ConfidentialWatchlists/*
Microsoft.OperationalInsights/workspaces/query/ConfidentialWatchlist/*
DataActions
none
NotDataActions
none

{
  "assignableScopes": [
    "/"
  ],
  "description": "Microsoft Sentinel Contributor",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/ab8e14d6-4a74-4a29-9ba8-549422addade",
  "name": "ab8e14d6-4a74-4a29-9ba8-549422addade",
  "permissions": [
    {
      "actions": [
        "Microsoft.SecurityInsights/*",
        "Microsoft.OperationalInsights/workspaces/analytics/query/action",
        "Microsoft.OperationalInsights/workspaces/*/read",
        "Microsoft.OperationalInsights/workspaces/savedSearches/*",
        "Microsoft.OperationsManagement/solutions/read",
        "Microsoft.OperationalInsights/workspaces/query/read",
        "Microsoft.OperationalInsights/workspaces/query/*/read",
        "Microsoft.OperationalInsights/workspaces/dataSources/read",
        "Microsoft.OperationalInsights/querypacks/*/read",
        "Microsoft.Insights/workbooks/*",
        "Microsoft.Insights/myworkbooks/read",
        "Microsoft.Authorization/*/read",
        "Microsoft.Insights/alertRules/*",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Support/*"
      ],
      "notActions": [
        "Microsoft.SecurityInsights/ConfidentialWatchlists/*",
        "Microsoft.OperationalInsights/workspaces/query/ConfidentialWatchlist/*"
      ],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "Microsoft Sentinel Contributor",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Operador de cuaderno de estrategias de Microsoft Sentinel

Más información

Acciones	Descripción
Microsoft.Logic/workflows/read	Lee el flujo de trabajo.
Microsoft.Logic/workflows/triggers/listCallbackUrl/action	Obtiene la dirección URL de devolución de llamada para el desencadenador.
Microsoft.Web/sites/hostruntime/webhooks/api/workflows/triggers/listCallbackUrl/action	Obtiene los desencadenadores del flujo de trabajo de Hostruntime de Web Apps.
Microsoft.Web/sites/read	Obtiene las propiedades de una aplicación web
NotActions
none
DataActions
none
NotDataActions
none

{
  "assignableScopes": [
    "/"
  ],
  "description": "Microsoft Sentinel Playbook Operator",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/51d6186e-6489-4900-b93f-92e23144cca5",
  "name": "51d6186e-6489-4900-b93f-92e23144cca5",
  "permissions": [
    {
      "actions": [
        "Microsoft.Logic/workflows/read",
        "Microsoft.Logic/workflows/triggers/listCallbackUrl/action",
        "Microsoft.Web/sites/hostruntime/webhooks/api/workflows/triggers/listCallbackUrl/action",
        "Microsoft.Web/sites/read"
      ],
      "notActions": [],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "Microsoft Sentinel Playbook Operator",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Lector de Microsoft Sentinel

Más información

Acciones	Descripción
Microsoft.SecurityInsights/*/read
Microsoft.SecurityInsights/dataConnectorsCheckRequirements/action	Comprueba la autorización y la licencia del usuario
Microsoft.SecurityInsights/threatIntelligence/indicators/query/action	Obtiene indicadores de inteligencia sobre amenazas.
Microsoft.SecurityInsights/threatIntelligence/queryIndicators/action	Obtiene indicadores de inteligencia sobre amenazas.
Microsoft.OperationalInsights/workspaces/analytics/query/action	Realiza búsquedas mediante el nuevo motor.
Microsoft.OperationalInsights/workspaces/*/read	Consulta datos de Log Analytics.
Microsoft.OperationalInsights/workspaces/LinkedServices/read	Obtiene los servicios vinculados en función del área de trabajo establecida.
Microsoft.OperationalInsights/workspaces/savedSearches/read	Obtiene una consulta de búsqueda guardada.
Microsoft.OperationsManagement/solutions/read	Obtención de una solución de OMS existente
Microsoft.OperationalInsights/workspaces/query/read	Ejecuta consultas en los datos del área de trabajo.
Microsoft.OperationalInsights/workspaces/query/*/read
Microsoft.OperationalInsights/querypacks/*/read
Microsoft.OperationalInsights/workspaces/dataSources/read	Obtenga el origen de datos en un área de trabajo.
Microsoft.Insights/workbooks/read	Lee un libro.
Microsoft.Insights/myworkbooks/read
Microsoft.Authorization/*/read	Leer roles y asignaciones de roles
Microsoft.Insights/alertRules/*	Creación y administración de una alerta de métricas clásica
Microsoft.Resources/deployments/*	Creación y administración de una implementación
Microsoft.Resources/subscriptions/resourceGroups/read	Obtiene o enumera los grupos de recursos.
Microsoft.Resources/templateSpecs/*/read	Obtiene o enumera las especificaciones de plantilla y las versiones de las especificaciones de plantilla
Microsoft.Support/*	Creación y actualización de una incidencia de soporte técnico
NotActions
Microsoft.SecurityInsights/ConfidentialWatchlists/*
Microsoft.OperationalInsights/workspaces/query/ConfidentialWatchlist/*
DataActions
none
NotDataActions
none

{
  "assignableScopes": [
    "/"
  ],
  "description": "Microsoft Sentinel Reader",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/8d289c81-5878-46d4-8554-54e1e3d8b5cb",
  "name": "8d289c81-5878-46d4-8554-54e1e3d8b5cb",
  "permissions": [
    {
      "actions": [
        "Microsoft.SecurityInsights/*/read",
        "Microsoft.SecurityInsights/dataConnectorsCheckRequirements/action",
        "Microsoft.SecurityInsights/threatIntelligence/indicators/query/action",
        "Microsoft.SecurityInsights/threatIntelligence/queryIndicators/action",
        "Microsoft.OperationalInsights/workspaces/analytics/query/action",
        "Microsoft.OperationalInsights/workspaces/*/read",
        "Microsoft.OperationalInsights/workspaces/LinkedServices/read",
        "Microsoft.OperationalInsights/workspaces/savedSearches/read",
        "Microsoft.OperationsManagement/solutions/read",
        "Microsoft.OperationalInsights/workspaces/query/read",
        "Microsoft.OperationalInsights/workspaces/query/*/read",
        "Microsoft.OperationalInsights/querypacks/*/read",
        "Microsoft.OperationalInsights/workspaces/dataSources/read",
        "Microsoft.Insights/workbooks/read",
        "Microsoft.Insights/myworkbooks/read",
        "Microsoft.Authorization/*/read",
        "Microsoft.Insights/alertRules/*",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Resources/templateSpecs/*/read",
        "Microsoft.Support/*"
      ],
      "notActions": [
        "Microsoft.SecurityInsights/ConfidentialWatchlists/*",
        "Microsoft.OperationalInsights/workspaces/query/ConfidentialWatchlist/*"
      ],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "Microsoft Sentinel Reader",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Respondedor de Microsoft Sentinel

Más información

Acciones	Descripción
Microsoft.SecurityInsights/*/read
Microsoft.SecurityInsights/dataConnectorsCheckRequirements/action	Comprueba la autorización y la licencia del usuario
Microsoft.SecurityInsights/automationRules/*
Microsoft.SecurityInsights/cases/*
Microsoft.SecurityInsights/incidents/*
Microsoft.Security Ideas/entities/runPlaybook/action	Ejecución del cuaderno de estrategias en la entidad
Microsoft.SecurityInsights/threatIntelligence/indicators/appendTags/action	Anexa etiquetas al indicador de inteligencia sobre amenazas.
Microsoft.SecurityInsights/threatIntelligence/indicators/query/action	Obtiene indicadores de inteligencia sobre amenazas.
Microsoft.SecurityInsights/threatIntelligence/bulkTag/action	Etiqueta de forma masiva los elementos de la inteligencia sobre amenazas.
Microsoft.SecurityInsights/threatIntelligence/indicators/appendTags/action	Anexa etiquetas al indicador de inteligencia sobre amenazas.
Microsoft.SecurityInsights/threatIntelligence/indicators/replaceTags/action	Reemplaza etiquetas del indicador de inteligencia sobre amenazas.
Microsoft.SecurityInsights/threatIntelligence/queryIndicators/action	Obtiene indicadores de inteligencia sobre amenazas.
Microsoft.Security Ideas/businessApplicationAgents/systems/undoAction/action	Deshacer una acción
Microsoft.OperationalInsights/workspaces/analytics/query/action	Realiza búsquedas mediante el nuevo motor.
Microsoft.OperationalInsights/workspaces/*/read	Consulta datos de Log Analytics.
Microsoft.OperationalInsights/workspaces/dataSources/read	Obtenga el origen de datos en un área de trabajo.
Microsoft.OperationalInsights/workspaces/savedSearches/read	Obtiene una consulta de búsqueda guardada.
Microsoft.OperationsManagement/solutions/read	Obtención de una solución de OMS existente
Microsoft.OperationalInsights/workspaces/query/read	Ejecuta consultas en los datos del área de trabajo.
Microsoft.OperationalInsights/workspaces/query/*/read
Microsoft.OperationalInsights/workspaces/dataSources/read	Obtenga el origen de datos en un área de trabajo.
Microsoft.OperationalInsights/querypacks/*/read
Microsoft.Insights/workbooks/read	Lee un libro.
Microsoft.Insights/myworkbooks/read
Microsoft.Authorization/*/read	Leer roles y asignaciones de roles
Microsoft.Insights/alertRules/*	Creación y administración de una alerta de métricas clásica
Microsoft.Resources/deployments/*	Creación y administración de una implementación
Microsoft.Resources/subscriptions/resourceGroups/read	Obtiene o enumera los grupos de recursos.
Microsoft.Support/*	Creación y actualización de una incidencia de soporte técnico
NotActions
Microsoft.SecurityInsights/cases/*/Delete
Microsoft.SecurityInsights/incidents/*/Delete
Microsoft.SecurityInsights/ConfidentialWatchlists/*
Microsoft.OperationalInsights/workspaces/query/ConfidentialWatchlist/*
DataActions
none
NotDataActions
none

{
  "assignableScopes": [
    "/"
  ],
  "description": "Microsoft Sentinel Responder",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/3e150937-b8fe-4cfb-8069-0eaf05ecd056",
  "name": "3e150937-b8fe-4cfb-8069-0eaf05ecd056",
  "permissions": [
    {
      "actions": [
        "Microsoft.SecurityInsights/*/read",
        "Microsoft.SecurityInsights/dataConnectorsCheckRequirements/action",
        "Microsoft.SecurityInsights/automationRules/*",
        "Microsoft.SecurityInsights/cases/*",
        "Microsoft.SecurityInsights/incidents/*",
        "Microsoft.SecurityInsights/entities/runPlaybook/action",
        "Microsoft.SecurityInsights/threatIntelligence/indicators/appendTags/action",
        "Microsoft.SecurityInsights/threatIntelligence/indicators/query/action",
        "Microsoft.SecurityInsights/threatIntelligence/bulkTag/action",
        "Microsoft.SecurityInsights/threatIntelligence/indicators/appendTags/action",
        "Microsoft.SecurityInsights/threatIntelligence/indicators/replaceTags/action",
        "Microsoft.SecurityInsights/threatIntelligence/queryIndicators/action",
        "Microsoft.SecurityInsights/businessApplicationAgents/systems/undoAction/action",
        "Microsoft.OperationalInsights/workspaces/analytics/query/action",
        "Microsoft.OperationalInsights/workspaces/*/read",
        "Microsoft.OperationalInsights/workspaces/dataSources/read",
        "Microsoft.OperationalInsights/workspaces/savedSearches/read",
        "Microsoft.OperationsManagement/solutions/read",
        "Microsoft.OperationalInsights/workspaces/query/read",
        "Microsoft.OperationalInsights/workspaces/query/*/read",
        "Microsoft.OperationalInsights/workspaces/dataSources/read",
        "Microsoft.OperationalInsights/querypacks/*/read",
        "Microsoft.Insights/workbooks/read",
        "Microsoft.Insights/myworkbooks/read",
        "Microsoft.Authorization/*/read",
        "Microsoft.Insights/alertRules/*",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Support/*"
      ],
      "notActions": [
        "Microsoft.SecurityInsights/cases/*/Delete",
        "Microsoft.SecurityInsights/incidents/*/Delete",
        "Microsoft.SecurityInsights/ConfidentialWatchlists/*",
        "Microsoft.OperationalInsights/workspaces/query/ConfidentialWatchlist/*"
      ],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "Microsoft Sentinel Responder",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Administrador de seguridad

Ver y actualizar permisos para Microsoft Defender for Cloud. Tiene los mismos permisos que el rol de lector de seguridad, y también puede actualizar la directiva de seguridad y descartar las alertas y las recomendaciones.

En el caso de Microsoft Defender para IoT, vea Roles de usuario de Azure para la supervisión de OT y Enterprise IoT

Más información

Acciones	Descripción
Microsoft.Authorization/*/read	Leer roles y asignaciones de roles
Microsoft.Authorization/policyAssignments/*	Crear y administrar asignaciones de directivas
Microsoft.Authorization/policyDefinitions/*	Crear y administrar definiciones de directivas
Microsoft.Authorization/policyExemptions/*	Permite crear y administrar exenciones de directivas.
Microsoft.Authorization/policySetDefinitions/*	Crear y administrar conjuntos de directivas
Microsoft.Insights/alertRules/*	Creación y administración de una alerta de métricas clásica
Microsoft.Management/managementGroups/read	Enumera los grupos de administración del usuario autenticado.
Microsoft.operationalInsights/workspaces/*/read	Consulta datos de Log Analytics.
Microsoft.Resources/deployments/*	Creación y administración de una implementación
Microsoft.Resources/subscriptions/resourceGroups/read	Obtiene o enumera los grupos de recursos.
Microsoft.Security/*	Crear y administrar las directivas y los componentes de seguridad
Microsoft.IoTSecurity/*
Microsoft.IoTFirmwareDefense/*
Microsoft.Support/*	Creación y actualización de una incidencia de soporte técnico
NotActions
none
DataActions
none
NotDataActions
none

{
  "assignableScopes": [
    "/"
  ],
  "description": "Security Admin Role",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/fb1c8493-542b-48eb-b624-b4c8fea62acd",
  "name": "fb1c8493-542b-48eb-b624-b4c8fea62acd",
  "permissions": [
    {
      "actions": [
        "Microsoft.Authorization/*/read",
        "Microsoft.Authorization/policyAssignments/*",
        "Microsoft.Authorization/policyDefinitions/*",
        "Microsoft.Authorization/policyExemptions/*",
        "Microsoft.Authorization/policySetDefinitions/*",
        "Microsoft.Insights/alertRules/*",
        "Microsoft.Management/managementGroups/read",
        "Microsoft.operationalInsights/workspaces/*/read",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Security/*",
        "Microsoft.IoTSecurity/*",
        "Microsoft.IoTFirmwareDefense/*",
        "Microsoft.Support/*"
      ],
      "notActions": [],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "Security Admin",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Colaborador de evaluación de la seguridad

Le permite insertar evaluaciones en Microsoft Defender for Cloud.

Acciones	Descripción
Microsoft.Security/assessments/write	Crea o actualiza las evaluaciones de seguridad en la suscripción.
NotActions
none
DataActions
none
NotDataActions
none

{
  "assignableScopes": [
    "/"
  ],
  "description": "Lets you push assessments to Security Center",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/612c2aa1-cb24-443b-ac28-3ab7272de6f5",
  "name": "612c2aa1-cb24-443b-ac28-3ab7272de6f5",
  "permissions": [
    {
      "actions": [
        "Microsoft.Security/assessments/write"
      ],
      "notActions": [],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "Security Assessment Contributor",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Administrador de seguridad (heredado)

Se trata de un rol heredado. En su lugar, use el Administrador de seguridad.

Acciones	Descripción
Microsoft.Authorization/*/read	Leer roles y asignaciones de roles
Microsoft.ClassicCompute/*/read	Leer información de configuración de máquinas virtuales clásicas
Microsoft.ClassicCompute/virtualMachines/*/write	Escribir configuración de máquinas virtuales clásicas
Microsoft.ClassicNetwork/*/read	Leer información de configuración acerca de la red clásica
Microsoft.Insights/alertRules/*	Creación y administración de una alerta de métricas clásica
Microsoft.ResourceHealth/availabilityStatuses/read	Obtiene los estados de disponibilidad de todos los recursos en el ámbito especificado
Microsoft.Resources/deployments/*	Creación y administración de una implementación
Microsoft.Resources/subscriptions/resourceGroups/read	Obtiene o enumera los grupos de recursos.
Microsoft.Security/*	Crear y administrar las directivas y los componentes de seguridad
Microsoft.Support/*	Creación y actualización de una incidencia de soporte técnico
NotActions
none
DataActions
none
NotDataActions
none

{
  "assignableScopes": [
    "/"
  ],
  "description": "This is a legacy role. Please use Security Administrator instead",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/e3d13bf0-dd5a-482e-ba6b-9b8433878d10",
  "name": "e3d13bf0-dd5a-482e-ba6b-9b8433878d10",
  "permissions": [
    {
      "actions": [
        "Microsoft.Authorization/*/read",
        "Microsoft.ClassicCompute/*/read",
        "Microsoft.ClassicCompute/virtualMachines/*/write",
        "Microsoft.ClassicNetwork/*/read",
        "Microsoft.Insights/alertRules/*",
        "Microsoft.ResourceHealth/availabilityStatuses/read",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Security/*",
        "Microsoft.Support/*"
      ],
      "notActions": [],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "Security Manager (Legacy)",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Lector de seguridad

Ver permisos para Microsoft Defender for Cloud. Puede ver las recomendaciones, las alertas, una directiva de seguridad y los estados de seguridad, pero no puede realizar cambios.

En el caso de Microsoft Defender para IoT, vea Roles de usuario de Azure para la supervisión de OT y Enterprise IoT

Más información

Acciones	Descripción
Microsoft.Authorization/*/read	Leer roles y asignaciones de roles
Microsoft.Insights/alertRules/read	Lee una alerta de métrica clásica.
Microsoft.operationalInsights/workspaces/*/read	Consulta datos de Log Analytics.
Microsoft.Resources/deployments/*/read
Microsoft.Resources/subscriptions/resourceGroups/read	Obtiene o enumera los grupos de recursos.
Microsoft.Security/*/read	Leer directivas y componentes de seguridad
Microsoft.IoTSecurity/*/read
Microsoft.Support/*/read
Microsoft.Security/iotDefenderSettings/packageDownloads/action	Obtiene información de paquetes de IoT Defender que se pueden descargar.
Microsoft.Security/iotDefenderSettings/downloadManagerActivation/action	Descarga del archivo de activación del administrador con datos de la cuota de suscripción
Microsoft.Security/iotSensors/downloadResetPassword/action	Las descargas restablecen el archivo de contraseña para sensores de IoT
Microsoft.IoTSecurity/defenderSettings/packageDownloads/action	Obtiene información de paquetes de IoT Defender que se pueden descargar.
Microsoft.IoTSecurity/defenderSettings/downloadManagerActivation/action	Descarga un archivo de activación del administrador.
Microsoft.Management/managementGroups/read	Enumera los grupos de administración del usuario autenticado.
NotActions
none
DataActions
none
NotDataActions
none

{
  "assignableScopes": [
    "/"
  ],
  "description": "Security Reader Role",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/39bc4728-0917-49c7-9d2c-d95423bc2eb4",
  "name": "39bc4728-0917-49c7-9d2c-d95423bc2eb4",
  "permissions": [
    {
      "actions": [
        "Microsoft.Authorization/*/read",
        "Microsoft.Insights/alertRules/read",
        "Microsoft.operationalInsights/workspaces/*/read",
        "Microsoft.Resources/deployments/*/read",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Security/*/read",
        "Microsoft.IoTSecurity/*/read",
        "Microsoft.Support/*/read",
        "Microsoft.Security/iotDefenderSettings/packageDownloads/action",
        "Microsoft.Security/iotDefenderSettings/downloadManagerActivation/action",
        "Microsoft.Security/iotSensors/downloadResetPassword/action",
        "Microsoft.IoTSecurity/defenderSettings/packageDownloads/action",
        "Microsoft.IoTSecurity/defenderSettings/downloadManagerActivation/action",
        "Microsoft.Management/managementGroups/read"
      ],
      "notActions": [],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "Security Reader",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Pasos siguientes

Asignación de roles de Azure mediante Azure Portal

Roles integrados de Azure para seguridad

Administrador de automatización del cumplimiento de la aplicación

Lector de automatización del cumplimiento de la aplicación

Colaborador de atestación

Lector de atestación

Administrador de Key Vault

Usuario de certificado de Key Vault

Agente de certificados de Key Vault

Colaborador de almacén de claves

Agente criptográfico de Key Vault

Usuario de cifrado de servicio criptográfico de Key Vault

Usuario de la versión de servicio criptográfica de Key Vault

Usuario criptográfico de Key Vault

Administrador de acceso a datos de Key Vault

Lector de Key Vault

Agente de secretos de Key Vault

Usuario de secretos de Key Vault

Colaborador de HSM administrado

Colaborador de automatización de Microsoft Sentinel

Colaborador de Microsoft Sentinel

Operador de cuaderno de estrategias de Microsoft Sentinel

Lector de Microsoft Sentinel

Respondedor de Microsoft Sentinel

Administrador de seguridad

Colaborador de evaluación de la seguridad

Administrador de seguridad (heredado)

Lector de seguridad

Pasos siguientes

Recursos adicionales