az role assignment

  • Referencia

Administrar asignaciones de roles.

Comandos

Nombre Description Tipo Estado
az role assignment create

Crea una nueva asignación de roles para un usuario, grupo o entidad de servicio.

 Core GA
az role assignment delete

Eliminar asignaciones de roles.

 Core GA
az role assignment list

Lista de asignaciones de roles.

 Core GA
az role assignment list-changelogs

Enumerar los registros de cambios para las asignaciones de roles.

 Core GA
az role assignment update

Actualice una asignación de roles existente para un usuario, grupo o entidad de servicio.

 Core GA

az role assignment create

Editar

Crea una nueva asignación de roles para un usuario, grupo o entidad de servicio.

az role assignment create --role
                          --scope
                          [--assignee]
                          [--assignee-object-id]
                          [--assignee-principal-type {ForeignGroup, Group, ServicePrincipal, User}]
                          [--condition]
                          [--condition-version]
                          [--description]
                          [--name]

Ejemplos

Cree una asignación de roles para conceder al asignado especificado el rol Lector en una máquina virtual de Azure.

az role assignment create --assignee sp_name --role Reader --scope /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/MyResourceGroup/providers/Microsoft.Compute/virtualMachines/MyVm

Cree una asignación de roles para un receptor con descripción y condición.

az role assignment create --role Owner --scope /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/MyResourceGroup/providers/Microsoft.Storage/storageAccounts/MyStorageAccount --assignee "John.Doe@Contoso.com" --description "Role assignment foo to check on bar" --condition "@Resource[Microsoft.Storage/storageAccounts/blobServices/containers:Name] stringEquals 'foo'" --condition-version "2.0"

Cree la asignación de roles con su propio nombre de asignación.

az role assignment create --assignee-object-id 00000000-0000-0000-0000-000000000000 --assignee-principal-type ServicePrincipal --role Reader --scope /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/MyResourceGroup --name 00000000-0000-0000-0000-000000000000

Parámetros requeridos

--role

Nombre o identificador del rol.

--scope

Ámbito en el que se aplica la asignación o definición de roles, por ejemplo, /subscriptions/0b1f6471-1bf0-4dda-aec3-11112222233333, /subscriptions/0b1f6471-1bf0-4dda-aec3-1111222223333/resourceGroups/myGroup o /subscriptions/0b1f6471-1bf0-4dda-aec3-1111222223333/resourceGroups/myGroup/providers/Microsoft.Compute/virtualMachines/myVM.

Parámetros opcionales

--assignee

Representa un usuario, un grupo o una entidad de servicio. formato admitido: id. de objeto, nombre de inicio de sesión de usuario o nombre de entidad de seguridad de servicio.

--assignee-object-id

Use este parámetro en lugar de "--assignee" para omitir la invocación de Graph API en caso de que no haya privilegios suficientes. Este parámetro solo funciona con identificadores de objeto para usuarios, grupos, entidades de servicio e identidades administradas. En el caso de las identidades administradas, use el identificador de entidad de seguridad. En el caso de las entidades de servicio, use el identificador de objeto y no el identificador de la aplicación.

--assignee-principal-type

Use con --assignee-object-id para evitar errores causados por la latencia de propagación en Microsoft Graph.

valores aceptados: ForeignGroup, Group, ServicePrincipal, User
--condition
Vista previa

Condición bajo la que se puede conceder permiso al usuario.

--condition-version
Vista previa

Versión de la sintaxis de la condición. Si --condition se especifica sin --condition-version, el valor predeterminado es 2.0.

--description
Vista previa

Descripción de la asignación de roles.

--name -n

GUID para la asignación de roles. Debe ser único y diferente para cada asignación de roles. Si se omite, se genera un nuevo GUID.

Parámetros globales
--debug

Aumente el nivel de detalle de registro para mostrar todos los registros de depuración.

--help -h

Muestre este mensaje de ayuda y salga.

--only-show-errors

Mostrar solo los errores y suprimir las advertencias.

--output -o

Formato de salida.

valores aceptados: json, jsonc, none, table, tsv, yaml, yamlc
valor predeterminado: json
--query

Cadena de consulta de JMESPath. Para más información y ejemplos, consulte http://jmespath.org/.

--subscription

Nombre o identificador de la suscripción Puede configurar la suscripción predeterminada mediante az account set -s NAME_OR_ID.

--verbose

Aumente el nivel de detalle de registro. Use --debug para obtener registros de depuración completos.

az role assignment delete

Editar

Eliminar asignaciones de roles.

az role assignment delete [--assignee]
                          [--ids]
                          [--include-inherited]
                          [--resource-group]
                          [--role]
                          [--scope]
                          [--yes]

Ejemplos

Eliminar asignaciones de roles. (generado automáticamente)

az role assignment delete --assignee 00000000-0000-0000-0000-000000000000 --role "Storage Account Key Operator Service Role"

Parámetros opcionales

--assignee

Representa un usuario, un grupo o una entidad de servicio. formato admitido: id. de objeto, nombre de inicio de sesión de usuario o nombre de entidad de seguridad de servicio.

--ids

Identificadores de asignación de roles separados por espacios.

--include-inherited

Incluir asignaciones aplicadas en ámbitos primarios.

valor predeterminado: False
--resource-group -g

Úselo solo si el rol o la asignación se agregaron en el nivel de un grupo de recursos.

--role

Nombre o identificador del rol.

--scope

Ámbito en el que se aplica la asignación o definición de roles, por ejemplo, /subscriptions/0b1f6471-1bf0-4dda-aec3-11112222233333, /subscriptions/0b1f6471-1bf0-4dda-aec3-1111222223333/resourceGroups/myGroup o /subscriptions/0b1f6471-1bf0-4dda-aec3-1111222223333/resourceGroups/myGroup/providers/Microsoft.Compute/virtualMachines/myVM.

--yes -y

Continúe con la eliminación de todas las asignaciones de la suscripción.

Parámetros globales
--debug

Aumente el nivel de detalle de registro para mostrar todos los registros de depuración.

--help -h

Muestre este mensaje de ayuda y salga.

--only-show-errors

Mostrar solo los errores y suprimir las advertencias.

--output -o

Formato de salida.

valores aceptados: json, jsonc, none, table, tsv, yaml, yamlc
valor predeterminado: json
--query

Cadena de consulta de JMESPath. Para más información y ejemplos, consulte http://jmespath.org/.

--subscription

Nombre o identificador de la suscripción Puede configurar la suscripción predeterminada mediante az account set -s NAME_OR_ID.

--verbose

Aumente el nivel de detalle de registro. Use --debug para obtener registros de depuración completos.

az role assignment list

Editar

Lista de asignaciones de roles.

De forma predeterminada, se mostrarán únicamente las asignaciones que se limitan a la suscripción. Para ver las asignaciones limitadas por grupo o recurso, use --all.

az role assignment list [--all]
                        [--assignee]
                        [--include-classic-administrators {false, true}]
                        [--include-groups]
                        [--include-inherited]
                        [--resource-group]
                        [--role]
                        [--scope]

Parámetros opcionales

--all

Mostrar todas las asignaciones en la suscripción actual.

valor predeterminado: False
--assignee

Representa un usuario, un grupo o una entidad de servicio. formato admitido: id. de objeto, nombre de inicio de sesión de usuario o nombre de entidad de seguridad de servicio.

--include-classic-administrators

Enumere las asignaciones de roles predeterminadas para los administradores clásicos de la suscripción, también conocidos como coadministradores.

valores aceptados: false, true
valor predeterminado: False
--include-groups

Incluya asignaciones adicionales a los grupos de los que el usuario es miembro (transitivamente).

valor predeterminado: False
--include-inherited

Incluir asignaciones aplicadas en ámbitos primarios.

valor predeterminado: False
--resource-group -g

Úselo solo si el rol o la asignación se agregaron en el nivel de un grupo de recursos.

--role

Nombre o identificador del rol.

--scope

Ámbito en el que se aplica la asignación o definición de roles, por ejemplo, /subscriptions/0b1f6471-1bf0-4dda-aec3-11112222233333, /subscriptions/0b1f6471-1bf0-4dda-aec3-1111222223333/resourceGroups/myGroup o /subscriptions/0b1f6471-1bf0-4dda-aec3-1111222223333/resourceGroups/myGroup/providers/Microsoft.Compute/virtualMachines/myVM.

Parámetros globales
--debug

Aumente el nivel de detalle de registro para mostrar todos los registros de depuración.

--help -h

Muestre este mensaje de ayuda y salga.

--only-show-errors

Mostrar solo los errores y suprimir las advertencias.

--output -o

Formato de salida.

valores aceptados: json, jsonc, none, table, tsv, yaml, yamlc
valor predeterminado: json
--query

Cadena de consulta de JMESPath. Para más información y ejemplos, consulte http://jmespath.org/.

--subscription

Nombre o identificador de la suscripción Puede configurar la suscripción predeterminada mediante az account set -s NAME_OR_ID.

--verbose

Aumente el nivel de detalle de registro. Use --debug para obtener registros de depuración completos.

az role assignment list-changelogs

Editar

Enumerar los registros de cambios para las asignaciones de roles.

az role assignment list-changelogs [--end-time]
                                   [--start-time]

Parámetros opcionales

--end-time

Hora de finalización de la consulta con el formato %Y-%m-%dT%H:%M:%SZ, por ejemplo, 2000-12-31T12:59:59Z. El valor predeterminado es la hora actual.

--start-time

Hora de inicio de la consulta con el formato %Y-%m-%dT%H:%M:%SZ, por ejemplo, 2000-12-31T12:59:59Z. El valor predeterminado es 1 hora antes de la hora actual.

Parámetros globales
--debug

Aumente el nivel de detalle de registro para mostrar todos los registros de depuración.

--help -h

Muestre este mensaje de ayuda y salga.

--only-show-errors

Mostrar solo los errores y suprimir las advertencias.

--output -o

Formato de salida.

valores aceptados: json, jsonc, none, table, tsv, yaml, yamlc
valor predeterminado: json
--query

Cadena de consulta de JMESPath. Para más información y ejemplos, consulte http://jmespath.org/.

--subscription

Nombre o identificador de la suscripción Puede configurar la suscripción predeterminada mediante az account set -s NAME_OR_ID.

--verbose

Aumente el nivel de detalle de registro. Use --debug para obtener registros de depuración completos.

az role assignment update

Editar

Actualice una asignación de roles existente para un usuario, grupo o entidad de servicio.

az role assignment update --role-assignment

Ejemplos

Actualice una asignación de roles desde un archivo JSON.

az role assignment update --role-assignment assignment.json

Actualice una asignación de roles desde una cadena JSON. (Bash)

az role assignment update --role-assignment '{
    "canDelegate": null,
    "condition": "@Resource[Microsoft.Storage/storageAccounts/blobServices/containers:Name] stringEquals '"'"'foo'"'"'",
    "conditionVersion": "2.0",
    "description": "Role assignment foo to check on bar",
    "id": "/subscriptions/00000001-0000-0000-0000-000000000000/resourceGroups/rg1/providers/Microsoft.Authorization/roleAssignments/3eabdd43-375b-4dbd-8dc4-04acd15ce56b",
    "name": "3eabdd43-375b-4dbd-8dc4-04acd15ce56b",
    "principalId": "00000002-0000-0000-0000-000000000000",
    "principalType": "User",
    "resourceGroup": "rg1",
    "roleDefinitionId": "/subscriptions/00000001-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleDefinitions/acdd72a7-3385-48ef-bd42-f606fba81ae7",
    "scope": "/subscriptions/00000001-0000-0000-0000-000000000000/resourceGroups/rg1",
    "type": "Microsoft.Authorization/roleAssignments"
}'

Parámetros requeridos

--role-assignment

Descripción de una asignación de roles existente como JSON o una ruta de acceso a un archivo que contiene una descripción JSON.

Parámetros globales
--debug

Aumente el nivel de detalle de registro para mostrar todos los registros de depuración.

--help -h

Muestre este mensaje de ayuda y salga.

--only-show-errors

Mostrar solo los errores y suprimir las advertencias.

--output -o

Formato de salida.

valores aceptados: json, jsonc, none, table, tsv, yaml, yamlc
valor predeterminado: json
--query

Cadena de consulta de JMESPath. Para más información y ejemplos, consulte http://jmespath.org/.

--subscription

Nombre o identificador de la suscripción Puede configurar la suscripción predeterminada mediante az account set -s NAME_OR_ID.

--verbose

Aumente el nivel de detalle de registro. Use --debug para obtener registros de depuración completos.