Contrôle d’accès en fonction du rôle Azure dans Microsoft Dev Box

Cet article décrit les différents rôles intégrés pris en charge par Microsoft Dev Box et leur mappage aux rôles organisationnels tels qu’ingénieur de plateforme et responsable de développement.

Le contrôle d’accès en fonction du rôle (RBAC) Azure spécifie les définitions des rôles intégrés, qui décrivent les autorisations à appliquer. Vous attribuez à un utilisateur ou à un groupe cette définition de rôle par le biais d’une attribution de rôle pour une étendue spécifique. L’étendue peut être une ressource spécifique, un groupe de ressources ou l’ensemble de l’abonnement. Dans la section suivante, vous allez découvrir les rôles intégrés pris en charge par Microsoft Dev Box.

Pour plus d’informations, consultez Qu’est-ce que le contrôle d’accès en fonction du rôle Azure (Azure RBAC) ?

Notes

Lorsque vous apportez des modifications aux attributions de rôles, la propagation de ces mises à jour peut prendre quelques minutes.

Rôles intégrés

Dans cet article, les rôles intégrés Azure sont regroupés logiquement en deux types de rôles organisationnels, en fonction de leur champ d’influence :

• Rôles d’ingénieur de plateforme : influencent les autorisations pour les centres de développement, les catalogues et les projets

• Responsable de développement : influence les autorisations pour les ressources basées sur des projets

• Rôles de développeur : influencent les autorisations pour les utilisateurs

Voici les rôles intégrés pris en charge par Microsoft Dev Box :

Type de rôle organisationnel	Rôle intégré	Description
Ingénieur plateforme	Propriétaire	Accordez un contrôle total pour créer/gérer des centres de développement, des catalogues et des projets, et accordez des autorisations à d’autres utilisateurs. Apprenez-en davantage sur le rôle Propriétaire.
Ingénieur plateforme	Contributeur	Accordez un contrôle total pour créer/gérer des centres de développement, des catalogues et des projets, à l’exception de l’attribution de rôles à d’autres utilisateurs. Apprenez-en davantage sur le rôle Contributeur.
Responsable de développement	Administrateur de projet DevCenter	Accorde l’autorisation de gérer certains aspects des projets et des environnements. En savoir plus sur le rôle Administrateur de projet DevCenter.
Développeur	Utilisateur de dev box	Accorde l’autorisation de créer des dev box avec un contrôle total sur les dev box qu’ils créent. En savoir plus sur le Rôle Utilisateur Dev Box.

Étendue de l’attribution de rôle

Dans Azure RBAC, l’étendue représente l’ensemble des ressources auxquelles un accès s’applique. Quand vous attribuez un rôle, il est important de bien comprendre l’étendue, afin d’accorder uniquement l’accès nécessaire.

Dans Azure, vous pouvez spécifier une étendue à quatre niveaux : groupe d’administration, abonnement, groupe de ressources et ressource. Les étendues sont structurées dans une relation parent-enfant. Chaque niveau de hiérarchie rend l’étendue plus spécifique. Vous pouvez attribuer des rôles à n’importe de ces niveaux d’étendue. Le niveau que vous sélectionnez détermine la portée d’application du rôle. Les niveaux inférieurs héritent des autorisations de rôle des niveaux supérieurs. Apprenez-en davantage sur l’étendue pour Azure RBAC.

Pour Microsoft Dev Box, tenez compte des étendues suivantes :

Étendue	Description
Abonnement	Permet de gérer la facturation et la sécurité de toutes les ressources et services Azure. En règle générale, seuls les ingénieurs de plateforme disposent d’un accès au niveau de l’abonnement, car cette attribution de rôle accorde l’accès à toutes les ressources de l’abonnement.
Resource group	Conteneur logique pour regrouper des ressources. L’attribution de rôle pour le groupe de ressources accorde l’autorisation au groupe de ressources et à toutes les ressources qu’il contient, telles que les centres de développement, les définitions de dev box, les pools de dev box, les projets et les dev box.
Centre de développement (ressource)	Une collection de projets qui nécessitent des paramètres similaires. L’attribution de rôle pour le centre de développement accorde l’autorisation au centre de développement lui-même. Les autorisations affectées pour les centres de développement ne sont pas héritées par d’autres ressources de dev box.
Projet (ressource)	Ressource Azure utilisée pour appliquer des paramètres de configuration courants lorsque vous créez une dev box. L’attribution de rôle pour le projet accorde l’autorisation uniquement à ce projet spécifique.
Pool de dev box (ressource)	Collection de dev box que vous gérez conjointement et auxquelles vous appliquez des paramètres similaires. L’attribution de rôle pour le pool de dev box accorde uniquement l’autorisation à ce pool de dev box spécifique.
Définition de dev box (ressource)	Ressource Azure qui spécifie une image source et une taille, notamment la taille de calcul et la taille du stockage. L’attribution de rôle pour la définition de dev box accorde uniquement l’autorisation à cette définition de dev box spécifique.

Rôles pour les activités de Dev Box courantes

Le tableau suivant présente les activités de Dev Box courantes et le rôle nécessaire pour qu’un utilisateur effectue cette activité.

Activité	Type de rôle	Role	Étendue
Accorder l’autorisation de créer un groupe de ressources.	Ingénieur plateforme	Propriétaire ou Contributeur	Abonnement
Accorder l’autorisation d’envoyer un ticket de support Microsoft, notamment pour demander de la capacité.	Ingénieur plateforme	Propriétaire, Contributeur,Collaborateur de la demande de support	Abonnement
Accorde l’autorisation de créer des réseaux virtuels et des sous-réseaux.	Ingénieur plateforme	Contributeur de réseau	Resource group
Accorde l’autorisation de créer une connexion réseau.	Ingénieur plateforme	Propriétaire ou Contributeur	Resource group
Accordez l’autorisation d’attribuer des rôles à d’autres utilisateurs.	Ingénieur plateforme	Propriétaire	Resource group
Accorde l’autorisation de : - Créer/gérer des centres de développement. - Ajouter/supprimer des connexions réseau. - Ajouter/supprimer des galeries de calcul Azure. - Créer/gérer les définitions de dev box. - Créer/gérer des projets. - Attacher/gérer le catalogue à un centre de développement ou un projet (les catalogues au niveau du projet doivent être activés sur le centre de développement). - Configurer les limites de la dev box.	Ingénieur plateforme	Contributeur	Resource group
Accorde l’autorisation d’ajouter ou de supprimer une connexion réseau pour un centre de développement.	Ingénieur plateforme	Contributeur	Centre de développement
Accordez l’autorisation d’activer et désactiver les catalogues de projets.	Responsable de développement	Contributeur	Centre de développement
Accorde l’autorisation de : - Ajouter, synchroniser et supprimer un catalogue (les catalogues au niveau du projet doivent être activés sur le centre de développement). - Créer des pools de dev box. - Arrêter, démarrer et supprimer des dev box dans des pools.	Responsable de développement	Administrateur de projet DevCenter	Project
Créer et gérer vos propres dev box dans un projet.	Utilisateur	Utilisateur de dev box	Project
Créez et gérez des catalogues dans un dépôt GitHub ou un référentiel Azure Repos.	Responsable de développement	Non régi par RBAC. -L’utilisateur doit avoir des autorisations affectées via Azure DevOps ou GitHub.	Référentiel

Important

L’abonnement d’une organisation permet de gérer la facturation et la sécurité pour toutes les ressources et services Azure. Vous pouvez attribuer le rôle Propriétaire ou Contributeur sur l’abonnement. En règle générale, seuls les ingénieurs de plateforme disposent d’un accès au niveau de l’abonnement, car cela inclut un accès total à toutes les ressources de l’abonnement.

Rôles d’ingénieur de plateforme

Pour accorder aux utilisateurs l’autorisation de gérer Microsoft Dev Box au sein de l’abonnement de votre organisation, vous devez leur attribuer le rôle Propriétaire ou Contributeur.

Attribuez ces rôles sur le groupe de ressources. Les centres de développement, les connexions réseau, les définitions de dev box, les pools de dev box et les projets au sein du groupe de ressources héritent de ces attributions de rôles.

Rôle de propriétaire

Attribuez le rôle Propriétaire pour donner à un utilisateur un contrôle total pour créer ou gérer des ressources Dev Box et accorder des autorisations à d’autres utilisateurs. Lorsqu’un utilisateur a le rôle Propriétaire dans le groupe de ressources, il peut effectuer les activités suivantes sur toutes les ressources du groupe de ressources :

• Attribuez des rôles aux ingénieurs de plateforme pour qu’ils puissent gérer les ressources Dev Box.

• Créez des centres de développement, des connexions réseau, des définitions de dev box, des pools de dev box et des projets.

• Affichez, supprimez et modifiez les paramètres pour tous les centres de développement, les connexions réseau, les définitions de dev box, les pools de dev box et les projets.

• Attacher et détacher des catalogues.

Attention

Lorsque vous attribuez le rôle Propriétaire ou Contributeur sur le groupe de ressources, ces autorisations s’appliquent également aux ressources hors Dev Box qui existent dans le groupe de ressources.

Rôle Contributeur

Attribuez le rôle Contributeur afin de donner à un utilisateur un contrôle total pour créer ou gérer des centres de développement et des projets au sein d’un groupe de ressources. Le rôle Contributeur dispose des mêmes autorisations que le rôle Propriétaire, sauf pour ce qui suit :

• Exécution des attributions de rôles.

Rôle Responsable de développement

Il existe un rôle de responsable de développement : Administrateur de projet DevCenter. Ce rôle dispose d’autorisations plus restreintes à des étendues inférieures que les rôles d’ingénieur de plateforme. Vous pouvez attribuer ce rôle aux responsables de développement pour leur permettre d’effectuer des tâches administratives pour leur équipe.

Rôle d’Administrateur de projet DevCenter.

Attribuez le rôle d’administrateur de projet DevCenter pour permettre les actions suivantes :

• Ajouter, synchroniser, supprimer un catalogue (les catalogues au niveau du projet doivent être activés sur le centre de développement).

• Créer des pools de dev box.

• Arrêter, démarrer et supprimer des dev box dans des pools.

Rôle du développeur

Il existe un rôle de développeur : Utilisateur Dev Box. Ce rôle permet aux développeurs de créer et de gérer leurs propres dev box.

Utilisateur de dev box

Attribuez le rôle Utilisateur Dev Box pour accorder aux utilisateurs l’autorisation de créer des dev box et de contrôler pleinement les dev box qu’ils créent. Les développeurs peuvent effectuer les actions suivantes sur n’importe quelle dev box qu’ils créent :

• Créer
• Démarrer/arrêter
• Restart
• Retarder un arrêt planifié
• Supprimer

Gestion des identités et des accès

La page Contrôle d’accès (IAM) du Portail Azure permet de configurer le contrôle d’accès en fonction du rôle sur les ressources Microsoft Dev Box. Vous pouvez utiliser des rôles intégrés pour les individus et les groupes dans Active Directory. La capture d’écran suivante montre l’intégration Active Directory (Azure RBAC) à l’aide du contrôle d’accès (IAM) dans le Portail Microsoft Azure :

Pour connaître les étapes détaillées, consultez Attribuer des rôles Azure à l’aide du portail Azure.

Centre de développement, groupe de ressources et structure de projet

Votre organisation doit investir du temps à l’avance pour planifier le placement de vos centres de développement, ainsi que la structure des groupes de ressources et des projets.

Centres de développement : organisez les centres de développement selon l’ensemble de projets que vous souhaitez gérer ensemble, en appliquant des paramètres similaires et en fournissant des modèles similaires.

Les organisations peuvent utiliser un ou plusieurs centres de développement. En règle générale, chaque sous-organisation au sein de l’organisation possède son propre centre de développement. Vous pouvez créer plusieurs centres de développement dans les cas suivants :

• Si vous souhaitez que des configurations spécifiques soient disponibles pour un sous-ensemble de projets.

• Si différentes équipes doivent détenir et gérer la ressource du centre de développement dans Azure.

Projets : associés à chaque équipe de développement ou groupe de personnes travaillant sur une application ou un produit.

La planification est particulièrement importante lorsque vous attribuez des rôles au groupe de ressources, car elle applique également des autorisations à toutes les ressources du groupe de ressources, notamment les centres de développement, les connexions réseau, les définitions de dev box, les pools de dev box et les projets.

Pour veiller à ce que les utilisateurs disposent uniquement d’un accès aux ressources appropriées :

• Créez des groupes de ressources qui contiennent uniquement des ressources Dev Box.

• Organisez les projets en fonction de la définition de la dev box et des pools de dev box requis et des développeurs qui doivent avoir accès. Il est important de noter que les pools de dev box déterminent l’emplacement de la création de la dev box. Les développeurs doivent créer des dev box à un emplacement proche d’eux pour une latence minimale.

Par exemple, vous pouvez créer des projets distincts pour différentes équipes de développement afin d’isoler les ressources de chaque équipe. Les responsables de développement d’un projet peuvent ensuite être affectés au rôle Administrateur de projet, qui leur accorde uniquement l’accès aux ressources de leur équipe.

Important

Planifiez la structure en amont, car il n’est pas possible de déplacer des ressources Dev Box comme des projets vers un autre groupe de ressources après leur création.

Structure de catalogue

Microsoft Dev Box utilise des catalogues pour permettre aux développeurs de déployer des personnalisations pour les dev box en utilisant un catalogue de tâches et un fichier de configuration pour installer des logiciels, ajouter des extensions, cloner des référentiels, etc. 

Microsoft Dev Box stocke les catalogues dans un référentiel GitHub ou un référentiel Azure DevOps Services. Vous pouvez attacher un catalogue à un centre de développement ou à un projet.

Vous pouvez attacher un ou plusieurs catalogues à votre centre de développement et gérer toutes les personnalisations à ce niveau. Pour fournir une granularité plus précise dans la façon dont les développeurs accèdent aux personnalisations, vous pouvez attacher des catalogues au niveau du projet. Lors de la planification de l’emplacement d’attachement des catalogues, vous devez prendre en compte les besoins de chaque équipe de développement.

Contenu connexe

• Présentation du contrôle d’accès en fonction du rôle Azure (Azure RBAC)
• Comprendre l’étendue d’Azure RBAC