Administrar el acceso para Ordenador Planetario de Microsoft Pro

En este artículo se muestra cómo administrar identidades en Microsoft Entra ID y cómo configurar el control de acceso basado en rol (RBAC) para Ordenador Planetario de Microsoft Pro. Este proceso permite al usuario asignar permisos de acceso a recursos GeoCatalog específicos a identidades de Microsoft Entra.

Prerrequisitos

Crear y administrar usuarios

Cree y gestione su lista de usuarios siguiendo la guía de Microsoft Entra ID sobre cómo crear, invitar y eliminar usuarios. Una vez creados los usuarios, debe conceder permisos adecuados para acceder a un recurso de GeoCatalog con la asignación de uno o varios roles de RBAC.

Planetary Computer Pro define dos roles específicos del recurso GeoCatalog, además de los roles integrados de Azure:

Función Descripción ¿Permite la administración de RBAC?
Administrador de GeoCatalog Permite al usuario leer, escribir y eliminar datos dentro de geocatalog No
Lector GeoCatalog Permite al usuario leer solo los datos de GeoCatalogs. No
Propietario Rol integrado de Azure que concede acceso total a todos los recursos, incluida la capacidad de administrar RBAC. Sí
Administrador de acceso de usuario Rol integrado de Azure que permite la administración del acceso de los usuarios a los recursos de Azure. Sí
Administrador de control de acceso basado en roles Rol integrado de Azure que permite la administración de asignaciones y permisos de RBAC. Sí

Nota:

El propietario también es un administrador de GeoCatalog.

Introducción a la autenticación y autorización

Para que una identidad se pueda autorizar a través de RBAC, primero debe autenticarse en Microsoft Entra ID. El método de autenticación depende del tipo de identidad que accede a su GeoCatalog:

Tipo de identidad Método de autenticación A continuación, autorice con
Usuario (portal, CLI, Explorador) Inicio de sesión interactivo (az login o explorador OAuth2) Roles de RBAC asignados en este artículo
Identidad administrada (aplicaciones en Azure) Token automático a través de la infraestructura de Azure Roles de RBAC asignados en este artículo
Entidad de servicio (aplicaciones fuera de Azure) Secreto/certificado de cliente mediante el registro de aplicaciones de Entra Roles de RBAC asignados en este artículo

Todas las operaciones del plano de control y del plano de datos de GeoCatalog requieren un token OAuth2 de tipo bearer válido con el alcance user_impersonation. Para obtener una configuración detallada por escenario, consulte Configuración de la autenticación de aplicaciones. Para obtener más información sobre los conceptos de Azure RBAC, consulte Introducción al control de acceso basado en roles de Azure.

Asignación del control de acceso basado en roles a un usuario

Puede usar Azure Portal para asignar roles de RBAC a usuarios de Planetary Computer Pro. En esta sección se muestra cómo usar los controles GeoCatalog Access Control (IAM) para asignar el rol de administrador de GeoCatalog a uno o varios usuarios.

  1. En Azure Portal, vaya a la pestaña Control de acceso (IAM) del recurso GeoCatalog en la barra lateral izquierda:

    Captura de pantalla de la hoja IAM en Azure Portal para configurar RBAC.

  2. Seleccione Agregar>Agregar asignación de rol.

  3. Seleccione GeoCatalog Administrator (Administrador de GeoCatalog ) en la lista de roles de función de trabajo y, a continuación, seleccione el botón Siguiente en la parte inferior de la página:

    Captura de pantalla que muestra las opciones de asignación de roles de RBAC en Azure Portal.

  4. Seleccione el botón de radio del usuario, grupo o entidad de servicio:

    Captura de pantalla que muestra la sección de miembros durante la asignación de roles de RBAC en Azure Portal.

  5. Elija Seleccionar miembros.

  6. Busque el usuario en el panel Seleccionar miembros que aparece en el lado derecho. Seleccione un nombre o una identidad de la lista para agregarlo a la lista de miembros seleccionados. Repita este paso para cada uno de los usuarios a los que se debe asignar este rol.

  7. Cuando se seleccionan todos los usuarios para los que necesita asignar este rol, use el botón Seleccionar situado en la parte inferior del panel para cerrar el panel.

  8. Selecciona Siguiente en la parte inferior de la página.

  9. Compruebe la información y, a continuación, complete la asignación seleccionando revisar y asignar.

Ahora los usuarios seleccionados pueden acceder al recurso GeoCatalog, ya sea a través de Azure Portal o las API.

Asignación de roles mediante el CLI de Azure

También puede asignar roles de RBAC mediante el CLI de Azure, que llama a la API del plano de control de ARM (Microsoft.Authorization/roleAssignments).

Asignación de un rol

# Define variables
SUBSCRIPTION_ID="{your-subscription-id}"
RESOURCE_GROUP="{your-resource-group}"
GEOCATALOG_NAME="{your-geocatalog-name}"
ASSIGNEE_OBJECT_ID="{user-or-service-principal-object-id}"

# GeoCatalog Administrator role definition ID
ROLE_DEFINITION_ID="$(az role definition list --name "GeoCatalog Administrator" --query "[0].id" -o tsv)"

# Assign the role scoped to the GeoCatalog resource
az role assignment create \
  --assignee-object-id "$ASSIGNEE_OBJECT_ID" \
  --role "$ROLE_DEFINITION_ID" \
  --scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME"

Eliminación de una asignación de rol

az role assignment delete \
  --assignee "$ASSIGNEE_OBJECT_ID" \
  --role "GeoCatalog Administrator" \
  --scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME"

Listar asignaciones de roles para GeoCatalog

az role assignment list \
  --scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME" \
  --output table

Contenido relacionado

  • Última actualización el