Gérer l’accès pour Microsoft Planetary Computer Pro

Cet article explique comment gérer les identités dans Microsoft Entra ID et comment configurer le contrôle d’accès en fonction du rôle (RBAC) pour Microsoft Planetary Computer Pro. Ce processus permet à l’utilisateur d’attribuer des autorisations d’accès aux ressources GeoCatalog spécifiques aux identités Microsoft Entra.

Conditions préalables

Créer et gérer des utilisateurs

Créez et gérez votre liste des utilisateurs en suivant l'article pratique de Microsoft Entra ID sur la création, l’invitation et la suppression d’utilisateurs. Une fois vos utilisateurs créés, vous devez leur accorder les autorisations appropriées pour accéder à une ressource GeoCatalog avec l’attribution d’un ou plusieurs rôles RBAC.

Planetary Computer Pro définit deux rôles spécifiques aux ressources GeoCatalog, en plus des rôles intégrés Azure :

Rôle Description Autorise la gestion RBAC ?
Administrateur GeoCatalog Permet à l’utilisateur de lire, d’écrire et de supprimer des données à l’intérieur d’un GeoCatalog Non
Lecteur GeoCatalog Permet à l’utilisateur de lire uniquement les données GeoCatalogs. Non
Propriétaire Rôle intégré Azure qui accorde un accès complet à toutes les ressources, y compris la possibilité de gérer RBAC. Oui
administrateur d’accès utilisateur Rôle intégré Azure qui permet la gestion de l’accès utilisateur aux ressources Azure. Oui
Administrateur du contrôle d’accès en fonction du rôle Rôle intégré Azure qui permet la gestion des attributions et des autorisations RBAC. Oui

Remarque

Le propriétaire est également administrateur GeoCatalog.

Vue d’ensemble de l’authentification et de l’autorisation

Pour qu’une identité puisse être autorisée via RBAC, elle doit d’abord s’authentifier auprès de Microsoft Entra ID. La méthode d’authentification dépend du type d’identité qui accède à votre GeoCatalog :

Type d’identité Méthode d’authentification Ensuite, autoriser avec
Utilisateur (portail, CLI, Explorateur) Connexion interactive (az login ou navigateur OAuth2) Rôles RBAC attribués dans cet article
Identité managée (applications sur Azure) Jeton automatique via l’infrastructure de Azure Rôles RBAC attribués dans cet article
Principal du service (applications en dehors d’Azure) Secret client/certificat via l’enregistrement d’application Entra Rôles RBAC attribués dans cet article

Toutes les opérations du plan de contrôle et du plan de données de GeoCatalog nécessitent un jeton porteur OAuth2 valide avec la portée user_impersonation. Pour obtenir une configuration détaillée par scénario, consultez Configurer l’authentification d’application. Pour plus d’informations sur Azure concepts RBAC, consultez Azure vue d’ensemble du contrôle d’accès en fonction du rôle.

Attribuer un contrôle d’accès en fonction du rôle à un utilisateur

Vous pouvez utiliser le portail Azure pour attribuer des rôles RBAC aux utilisateurs Planetary Computer Pro. Cette section montre comment utiliser les contrôles Iam (GeoCatalog Access Control) pour affecter le rôle Administrateur GeoCatalog à un ou plusieurs utilisateurs.

  1. Dans le portail Azure, accédez à votre onglet Contrôle d’accès aux ressources GeoCatalog (IAM) dans la barre latérale gauche :

    Capture d’écran du panneau IAM dans le portail Azure pour configurer RBAC.

  2. Sélectionnez Ajouter une>attribution de rôle.

  3. Sélectionnez l’administrateur GeoCatalog dans la liste des rôles de fonction de travail, puis sélectionnez le bouton Suivant en bas de la page :

    Capture d’écran montrant les options d’attribution de rôle RBAC dans le portail Azure.

  4. Sélectionnez la case d’option Utilisateur, groupe ou principal de service :

    Capture d’écran montrant la section membres pendant l’attribution de rôle RBAC dans le portail Azure.

  5. Choisir Sélectionner des membres

  6. Recherchez l’utilisateur dans le volet Sélectionner des membres qui s’affiche sur le côté droit. Sélectionnez un nom ou une identité dans la liste pour l’ajouter à la liste des membres sélectionnés. Répétez cette étape pour chacun des utilisateurs qui doivent être affectés à ce rôle.

  7. Lorsque tous les utilisateurs pour lesquels vous devez attribuer ce rôle sont sélectionnés, utilisez le bouton Sélectionner en bas du volet pour fermer le volet.

  8. Sélectionnez suivant en bas de la page.

  9. Vérifiez les informations, puis terminez l’affectation en sélectionnant vérifier + affecter.

À présent, les utilisateurs sélectionnés peuvent accéder à la ressource GeoCatalog, via le portail Azure ou les API.

Attribuer des rôles à l’aide du Azure CLI

Vous pouvez également attribuer des rôles RBAC à l’aide du Azure CLI, qui appelle l’API de plan de contrôle ARM (Microsoft.Authorization/roleAssignments).

Attribuer un rôle

# Define variables
SUBSCRIPTION_ID="{your-subscription-id}"
RESOURCE_GROUP="{your-resource-group}"
GEOCATALOG_NAME="{your-geocatalog-name}"
ASSIGNEE_OBJECT_ID="{user-or-service-principal-object-id}"

# GeoCatalog Administrator role definition ID
ROLE_DEFINITION_ID="$(az role definition list --name "GeoCatalog Administrator" --query "[0].id" -o tsv)"

# Assign the role scoped to the GeoCatalog resource
az role assignment create \
  --assignee-object-id "$ASSIGNEE_OBJECT_ID" \
  --role "$ROLE_DEFINITION_ID" \
  --scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME"

Supprimer une attribution de rôle

az role assignment delete \
  --assignee "$ASSIGNEE_OBJECT_ID" \
  --role "GeoCatalog Administrator" \
  --scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME"

Répertorier les attributions de rôles pour un GeoCatalog

az role assignment list \
  --scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME" \
  --output table

Contenu connexe

  • Dernière mise à jour :