New-AzRoleAssignment

Módulo:

Az.Resources

Asigna el rol de RBAC especificado a la entidad de seguridad especificada en el ámbito especificado.

El cmdlet puede llamar a microsoft Graph API debajo según los parámetros de entrada:

• GET /users/{id}
• GET /servicePrincipals/{id}
• GET /groups/{id}
• GET /directoryObjects/{id}

Tenga en cuenta que este cmdlet marcará ObjectType como Unknown en la salida si no se encuentra el objeto de asignación de roles o la cuenta actual no tiene privilegios suficientes para obtener el tipo de objeto.

Sintaxis

New-AzRoleAssignment
   -ObjectId <String>
   [-Scope <String>]
   -RoleDefinitionName <String>
   [-Description <String>]
   [-Condition <String>]
   [-ConditionVersion <String>]
   [-ObjectType <String>]
   [-AllowDelegation]
   [-SkipClientSideScopeValidation]
   [-DefaultProfile <IAzureContextContainer>]
   [<CommonParameters>]

New-AzRoleAssignment
   -ObjectId <String>
   -ResourceGroupName <String>
   -RoleDefinitionName <String>
   [-Description <String>]
   [-Condition <String>]
   [-ConditionVersion <String>]
   [-ObjectType <String>]
   [-AllowDelegation]
   [-SkipClientSideScopeValidation]
   [-DefaultProfile <IAzureContextContainer>]
   [<CommonParameters>]

New-AzRoleAssignment
   -ObjectId <String>
   -ResourceGroupName <String>
   -ResourceName <String>
   -ResourceType <String>
   [-ParentResource <String>]
   -RoleDefinitionName <String>
   [-Description <String>]
   [-Condition <String>]
   [-ConditionVersion <String>]
   [-ObjectType <String>]
   [-AllowDelegation]
   [-SkipClientSideScopeValidation]
   [-DefaultProfile <IAzureContextContainer>]
   [<CommonParameters>]

New-AzRoleAssignment
   -ObjectId <String>
   -Scope <String>
   [-Description <String>]
   [-Condition <String>]
   [-ConditionVersion <String>]
   [-ObjectType <String>]
   -RoleDefinitionId <Guid>
   [-AllowDelegation]
   [-SkipClientSideScopeValidation]
   [-DefaultProfile <IAzureContextContainer>]
   [<CommonParameters>]

New-AzRoleAssignment
   -SignInName <String>
   -ResourceGroupName <String>
   -RoleDefinitionName <String>
   [-Description <String>]
   [-Condition <String>]
   [-ConditionVersion <String>]
   [-ObjectType <String>]
   [-AllowDelegation]
   [-SkipClientSideScopeValidation]
   [-DefaultProfile <IAzureContextContainer>]
   [<CommonParameters>]

New-AzRoleAssignment
   -SignInName <String>
   -ResourceGroupName <String>
   -ResourceName <String>
   -ResourceType <String>
   [-ParentResource <String>]
   -RoleDefinitionName <String>
   [-Description <String>]
   [-Condition <String>]
   [-ConditionVersion <String>]
   [-ObjectType <String>]
   [-AllowDelegation]
   [-SkipClientSideScopeValidation]
   [-DefaultProfile <IAzureContextContainer>]
   [<CommonParameters>]

New-AzRoleAssignment
   -SignInName <String>
   [-Scope <String>]
   -RoleDefinitionName <String>
   [-Description <String>]
   [-Condition <String>]
   [-ConditionVersion <String>]
   [-ObjectType <String>]
   [-AllowDelegation]
   [-SkipClientSideScopeValidation]
   [-DefaultProfile <IAzureContextContainer>]
   [<CommonParameters>]

New-AzRoleAssignment
   -ApplicationId <String>
   -ResourceGroupName <String>
   -RoleDefinitionName <String>
   [-Description <String>]
   [-Condition <String>]
   [-ConditionVersion <String>]
   [-ObjectType <String>]
   [-AllowDelegation]
   [-SkipClientSideScopeValidation]
   [-DefaultProfile <IAzureContextContainer>]
   [<CommonParameters>]

New-AzRoleAssignment
   -ApplicationId <String>
   -ResourceGroupName <String>
   -ResourceName <String>
   -ResourceType <String>
   [-ParentResource <String>]
   -RoleDefinitionName <String>
   [-Description <String>]
   [-Condition <String>]
   [-ConditionVersion <String>]
   [-ObjectType <String>]
   [-AllowDelegation]
   [-SkipClientSideScopeValidation]
   [-DefaultProfile <IAzureContextContainer>]
   [<CommonParameters>]

New-AzRoleAssignment
   -ApplicationId <String>
   [-Scope <String>]
   -RoleDefinitionName <String>
   [-Description <String>]
   [-Condition <String>]
   [-ConditionVersion <String>]
   [-ObjectType <String>]
   [-AllowDelegation]
   [-SkipClientSideScopeValidation]
   [-DefaultProfile <IAzureContextContainer>]
   [<CommonParameters>]

New-AzRoleAssignment
   -InputFile <String>
   [-AllowDelegation]
   [-SkipClientSideScopeValidation]
   [-DefaultProfile <IAzureContextContainer>]
   [<CommonParameters>]

Description

Use el comando New-AzRoleAssignment para conceder acceso. El acceso se concede asignando el rol RBAC adecuado a ellos en el ámbito correcto. Para conceder acceso a toda la suscripción, asigne un rol en el ámbito de la suscripción. Para conceder acceso a un grupo de recursos específico dentro de una suscripción, asigne un rol en el ámbito del grupo de recursos. Se debe especificar el asunto de la asignación. Para especificar un usuario, use los parámetros SignInName o Microsoft Entra ObjectId. Para especificar un grupo de seguridad, use el parámetro Microsoft Entra ObjectId. Y para especificar una aplicación de Microsoft Entra, use los parámetros ApplicationId o ObjectId. El rol que se va a asignar debe especificarse mediante el parámetro RoleDefinitionName. Se puede especificar el ámbito en el que se concede acceso. El valor predeterminado es la suscripción seleccionada. El ámbito de la asignación se puede especificar mediante una de las siguientes combinaciones de parámetros a. Ámbito: este es el ámbito completo a partir de /subscriptions/<subscriptionId> b. ResourceGroupName: para conceder acceso al grupo de recursos especificado. c. ResourceName, ResourceType, ResourceGroupName y (opcionalmente) ParentResource: para especificar un recurso determinado dentro de un grupo de recursos al que conceder acceso.

Ejemplos

Ejemplo 1

New-AzRoleAssignment -ResourceGroupName rg1 -SignInName allen.young@live.com -RoleDefinitionName Reader -AllowDelegation

Concesión de acceso de rol lector a un usuario en un ámbito de grupo de recursos con la asignación de roles disponible para la delegación

Ejemplo 2

Get-AzADGroup -SearchString "Christine Koch Team"

          DisplayName                    Type                           Id
          -----------                    ----                           --------
          Christine Koch Team                                           2f9d4375-cbf1-48e8-83c9-2a0be4cb33fb

New-AzRoleAssignment -ObjectId 2f9d4375-cbf1-48e8-83c9-2a0be4cb33fb -RoleDefinitionName Contributor  -ResourceGroupName rg1

Concesión de acceso a un grupo de seguridad

Ejemplo 3

New-AzRoleAssignment -SignInName john.doe@contoso.com -RoleDefinitionName Owner -Scope "/subscriptions/00001111-aaaa-2222-bbbb-3333cccc4444/resourcegroups/rg1/providers/Microsoft.Web/sites/site1"

Concesión de acceso a un usuario en un recurso (sitio web)

Ejemplo 4

New-AzRoleAssignment -ObjectId 00001111-aaaa-2222-bbbb-3333cccc4444 -RoleDefinitionName "Virtual Machine Contributor" -ResourceName Devices-Engineering-ProjectRND -ResourceType Microsoft.Network/virtualNetworks/subnets -ParentResource virtualNetworks/VNET-EASTUS-01 -ResourceGroupName Network

Concesión de acceso a un grupo en un recurso anidado (subred)

Ejemplo 5

$servicePrincipal = New-AzADServicePrincipal -DisplayName "testServiceprincipal"
New-AzRoleAssignment -RoleDefinitionName "Reader" -ApplicationId $servicePrincipal.ApplicationId

Concesión de acceso de lector a una entidad de servicio

Parámetros

-AllowDelegation

Marca de delegación al crear una asignación de roles.

Tipo:	SwitchParameter
Posición:	Named
Valor predeterminado:	False
Requerido:	False
Aceptar entrada de canalización:	False
Aceptar caracteres comodín:	False

-ApplicationId

El identificador de aplicación de ServicePrincipal

Tipo:	String
Alias:	SPN, ServicePrincipalName
Posición:	Named
Valor predeterminado:	None
Requerido:	True
Aceptar entrada de canalización:	True
Aceptar caracteres comodín:	False

-Condition

Condición que se va a aplicar a RoleAssignment.

Tipo:	String
Posición:	Named
Valor predeterminado:	None
Requerido:	False
Aceptar entrada de canalización:	True
Aceptar caracteres comodín:	False

-ConditionVersion

Versión de la condición.

Tipo:	String
Posición:	Named
Valor predeterminado:	None
Requerido:	False
Aceptar entrada de canalización:	True
Aceptar caracteres comodín:	False

-DefaultProfile

Las credenciales, la cuenta, el inquilino y la suscripción que se usan para la comunicación con Azure

Tipo:	IAzureContextContainer
Alias:	AzContext, AzureRmContext, AzureCredential
Posición:	Named
Valor predeterminado:	None
Requerido:	False
Aceptar entrada de canalización:	False
Aceptar caracteres comodín:	False

-Description

Breve descripción de la asignación de roles.

Tipo:	String
Posición:	Named
Valor predeterminado:	None
Requerido:	False
Aceptar entrada de canalización:	True
Aceptar caracteres comodín:	False

-InputFile

Ruta de acceso al json de asignación de roles

Tipo:	String
Posición:	Named
Valor predeterminado:	None
Requerido:	True
Aceptar entrada de canalización:	True
Aceptar caracteres comodín:	False

-ObjectId

Microsoft Entra Objectid del usuario, grupo o entidad de servicio.

Tipo:	String
Alias:	Id, PrincipalId
Posición:	Named
Valor predeterminado:	None
Requerido:	True
Aceptar entrada de canalización:	True
Aceptar caracteres comodín:	False

-ObjectType

Para usarse con ObjectId. Especifica el tipo del objeto asignae.

Tipo:	String
Alias:	PrincipalType
Posición:	Named
Valor predeterminado:	None
Requerido:	False
Aceptar entrada de canalización:	True
Aceptar caracteres comodín:	False

-ParentResource

El recurso primario de la jerarquía (del recurso especificado mediante el parámetro ResourceName). Solo se debe usar junto con los parámetros ResourceGroupName, ResourceType y ResourceName para construir un ámbito jerárquico en forma de un URI relativo que identifique un recurso.

Tipo:	String
Posición:	Named
Valor predeterminado:	None
Requerido:	False
Aceptar entrada de canalización:	True
Aceptar caracteres comodín:	False

-ResourceGroupName

El nombre del grupo de recursos. Crea una asignación que es efectiva en el grupo de recursos especificado. Cuando se usa junto con los parámetros ResourceName, ResourceType y (opcionalmente) ParentResource, el comando construye un ámbito jerárquico en forma de un URI relativo que identifica un recurso.

Tipo:	String
Posición:	Named
Valor predeterminado:	None
Requerido:	True
Aceptar entrada de canalización:	True
Aceptar caracteres comodín:	False

-ResourceName

Nombre del recurso. Por ejemplo, storageaccountprod. Solo se debe usar junto con los parámetros ResourceGroupName, ResourceType y (opcionalmente) ParentResource para construir un ámbito jerárquico en forma de un URI relativo que identifica un recurso.

Tipo:	String
Posición:	Named
Valor predeterminado:	None
Requerido:	True
Aceptar entrada de canalización:	True
Aceptar caracteres comodín:	False

-ResourceType

Tipo de recurso. Por ejemplo, Microsoft.Network/virtualNetworks. Solo se debe usar junto con los parámetros ResourceGroupName, ResourceName y (opcionalmente) ParentResource para construir un ámbito jerárquico en forma de un URI relativo que identifica un recurso.

Tipo:	String
Posición:	Named
Valor predeterminado:	None
Requerido:	True
Aceptar entrada de canalización:	True
Aceptar caracteres comodín:	False

-RoleDefinitionId

Identificador del rol RBAC que se debe asignar a la entidad de seguridad.

Tipo:	Guid
Posición:	Named
Valor predeterminado:	None
Requerido:	True
Aceptar entrada de canalización:	True
Aceptar caracteres comodín:	False

-RoleDefinitionName

Nombre del rol RBAC que debe asignarse a la entidad de seguridad, es decir, Lector, Colaborador, Administrador de red virtual, etc.

Tipo:	String
Posición:	Named
Valor predeterminado:	None
Requerido:	True
Aceptar entrada de canalización:	True
Aceptar caracteres comodín:	False

-Scope

Ámbito de la asignación de roles. En el formato de URI relativo. Por ejemplo, "/subscriptions/9004a9fd-d58e-48dc-aeb2-4a4aec58606f/resourceGroups/TestRG". Si no se especifica, creará la asignación de roles en el nivel de suscripción. Si se especifica, debe comenzar con "/subscriptions/{id}".

Tipo:	String
Posición:	Named
Valor predeterminado:	None
Requerido:	True
Aceptar entrada de canalización:	True
Aceptar caracteres comodín:	False

-SignInName

La dirección de correo electrónico o el nombre principal de usuario del usuario.

Tipo:	String
Alias:	Email, UserPrincipalName
Posición:	Named
Valor predeterminado:	None
Requerido:	True
Aceptar entrada de canalización:	True
Aceptar caracteres comodín:	False

-SkipClientSideScopeValidation

Si se especifica, omita la validación del ámbito del lado cliente.

Tipo:	SwitchParameter
Posición:	Named
Valor predeterminado:	None
Requerido:	False
Aceptar entrada de canalización:	False
Aceptar caracteres comodín:	False

Entradas

String

Guid

Salidas

PSRoleAssignment

Notas

Palabras clave: azure, azurerm, arm, resource, management, manager, resource, group, template, deployment

Vínculos relacionados

• Get-AzRoleAssignment
• Remove-AzRoleAssignment
• Get-AzRoleDefinition