Configuración de los permisos de Azure VM Image Builder mediante PowerShell
Se aplica a: ✔️ máquinas virtuales Linux ✔️ conjuntos de escalado flexibles
Al registrarse en Azure VM Image Builder, esto concede al servicio permiso para crear, administrar y eliminar un grupo de recursos de almacenamiento provisional. El servicio también tiene derechos para agregar recursos a un grupo de recursos que se requieren para la creación de la imagen. Durante un registro correcto, la suscripción obtiene acceso a un nombre de entidad de seguridad de servicio (SPN) de VM Image Builder.
Si quiere que VM Image Builder distribuya imágenes, debe crear una identidad asignada por el usuario en Azure, con permisos para leer y escribir imágenes. Por ejemplo, puede que quiera distribuir imágenes a imágenes administradas o a Azure Compute Gallery. Si accede a Azure Storage, la identidad asignada por el usuario que cree necesita permisos para leer contenedores públicos o privados.
Debe configurar los permisos y los privilegios antes de crear una imagen. En las secciones siguientes se detalla cómo configurar posibles escenarios mediante PowerShell.
Crear una identidad administrada asignada por el usuario
VM Image Builder requiere la creación de una identidad administrada de Azure asignada por el usuario. VM Image Builder usa esta identidad para leer imágenes, escribir imágenes y acceder a las cuentas de Azure Storage. El permiso de identidad se concede para realizar acciones específicas en una suscripción.
Nota
La identidad administrada asignada por el usuario es la manera correcta de conceder permisos a los grupos de recursos de imagen. El SPN está en desuso para este fin.
En el ejemplo siguiente se muestra cómo crear una identidad administrada de Azure asignada por el usuario. Reemplace la configuración del marcador de posición para establecer las variables.
| Configuración | Descripción |
|---|---|
| <Grupos de recursos> | El grupo de recursos en donde quiere crear la identidad administrada asignada por el usuario. |
## Add AZ PS module to support AzUserAssignedIdentity
Install-Module -Name Az.ManagedServiceIdentity
$parameters = @{
Name = 'aibIdentity'
ResourceGroupName = '<Resource group>'
}
# create identity
New-AzUserAssignedIdentity @parameters
Para obtener más información, consulte Identidad administrada asignada por el usuario de Azure.
Permiso para que VM Image Builder distribuya imágenes
Para que VM Image Builder distribuya las imágenes, se debe permitir al servicio insertar las imágenes en los grupos de recursos. Para conceder los permisos necesarios, cree una identidad administrada asignada por el usuario y conceda derechos en el grupo de recursos donde se crea la imagen. VM Image Builder no tiene permiso para acceder a los recursos de otros grupos de recursos de la suscripción. Debe realizar acciones explícitas para permitir el acceso para evitar errores en la creación.
No es necesario conceder derechos de colaborador de identidad administrada asignada por el usuario en el grupo de recursos para distribuir las imágenes. Sin embargo, la identidad administrada asignada por el usuario necesita los siguientes permisos Actions de Azure en el grupo de recursos de distribución:
Microsoft.Compute/images/write
Microsoft.Compute/images/read
Microsoft.Compute/images/delete
Si quiere distribuir a Azure Compute Gallery, también necesita lo siguiente:
Microsoft.Compute/galleries/read
Microsoft.Compute/galleries/images/read
Microsoft.Compute/galleries/images/versions/read
Microsoft.Compute/galleries/images/versions/write
Permiso para personalizar las imágenes existentes
Para que VM Image Builder cree imágenes a partir de imágenes personalizadas de origen, se debe permitir que el servicio lea las imágenes en estos grupos de recursos. Para conceder los permisos necesarios, cree una identidad administrada asignada por el usuario y conceda derechos en el grupo de recursos donde se ubica la imagen.
A continuación, se muestra cómo se crea a partir de una imagen personalizada existente:
Microsoft.Compute/images/read
A continuación, se muestra cómo se crea a partir de una versión existente de Azure Compute Gallery:
Microsoft.Compute/galleries/read
Microsoft.Compute/galleries/images/read
Microsoft.Compute/galleries/images/versions/read
Permiso para personalizar imágenes en redes virtuales
VM Image Builder tiene la capacidad de implementar y usar una red virtual existente en su suscripción, lo que permite que las personalizaciones tengan acceso a los recursos conectados.
No es necesario conceder derechos de colaborador de identidad administrada asignada por el usuario en el grupo de recursos para implementar una VM en una red virtual existente. Sin embargo, la identidad administrada asignada por el usuario necesita los siguientes permisos Actions de Azure en el grupo de recursos de red virtual:
Microsoft.Network/virtualNetworks/read
Microsoft.Network/virtualNetworks/subnets/join/action
Creación de una definición de roles de Azure
En los ejemplos siguientes se crea una definición de roles de Azure a partir de las acciones descritas en las secciones anteriores. Los ejemplos se aplican en el nivel de grupo de recursos. Evalúe y pruebe si los ejemplos son lo suficientemente detallados para sus requisitos.
Las acciones en las imágenes permiten la lectura y escritura. Decida qué es adecuado para su entorno. Por ejemplo, cree un rol para permitir que VM Image Builder lea imágenes del grupo de recursos example-rg-1 y escriba imágenes en el grupo de recursos example-rg-2.
Ejemplo de rol de Azure de imagen personalizada
En el ejemplo siguiente se crea un rol de Azure para usar y distribuir una imagen personalizada de origen. A continuación, conceda el rol personalizado a la identidad administrada asignada por el usuario para VM Image Builder.
Para simplificar la sustitución de valores en el ejemplo, establezca las siguientes variables primero. Reemplace la configuración del marcador de posición para establecer las variables.
| Configuración | Descripción |
|---|---|
| <Subscription ID> | Su identificador de suscripción de Azure. |
| <Grupos de recursos> | Grupo de recursos para la imagen personalizada. |
$sub_id = "<Subscription ID>"
# Resource group - image builder will only support creating custom images in the same Resource Group as the source managed image.
$imageResourceGroup = "<Resource group>"
$identityName = "aibIdentity"
# Use a web request to download the sample JSON description
$sample_uri="https://raw.githubusercontent.com/azure/azvmimagebuilder/master/solutions/12_Creating_AIB_Security_Roles/aibRoleImageCreation.json"
$role_definition="aibRoleImageCreation.json"
Invoke-WebRequest -Uri $sample_uri -Outfile $role_definition -UseBasicParsing
# Create a unique role name to avoid clashes in the same Azure Active Directory domain
$timeInt=$(get-date -UFormat "%s")
$imageRoleDefName="Azure Image Builder Image Def"+$timeInt
# Update the JSON definition placeholders with variable values
((Get-Content -path $role_definition -Raw) -replace '<subscriptionID>',$sub_id) | Set-Content -Path $role_definition
((Get-Content -path $role_definition -Raw) -replace '<rgName>', $imageResourceGroup) | Set-Content -Path $role_definition
((Get-Content -path $role_definition -Raw) -replace 'Azure Image Builder Service Image Creation Role', $imageRoleDefName) | Set-Content -Path $role_definition
# Create a custom role from the aibRoleImageCreation.json description file.
New-AzRoleDefinition -InputFile $role_definition
# Get the user-identity properties
$identityNameResourceId=$(Get-AzUserAssignedIdentity -ResourceGroupName $imageResourceGroup -Name $identityName).Id
$identityNamePrincipalId=$(Get-AzUserAssignedIdentity -ResourceGroupName $imageResourceGroup -Name $identityName).PrincipalId
# Grant the custom role to the user-assigned managed identity for Azure Image Builder.
$parameters = @{
ObjectId = $identityNamePrincipalId
RoleDefinitionName = $imageRoleDefName
Scope = '/subscriptions/' + $sub_id + '/resourceGroups/' + $imageResourceGroup
}
New-AzRoleAssignment @parameters
Ejemplo de rol de Azure de red virtual existente
En el ejemplo siguiente se crea un rol de Azure para usar y distribuir una imagen de red virtual existente. A continuación, conceda el rol personalizado a la identidad administrada asignada por el usuario para VM Image Builder.
Para simplificar la sustitución de valores en el ejemplo, establezca las siguientes variables primero. Reemplace la configuración del marcador de posición para establecer las variables.
| Configuración | Descripción |
|---|---|
| <Subscription ID> | Su identificador de suscripción de Azure. |
| <Grupos de recursos> | Grupo de recursos de la red virtual. |
$sub_id = "<Subscription ID>"
$res_group = "<Resource group>"
$identityName = "aibIdentity"
# Use a web request to download the sample JSON description
$sample_uri="https://raw.githubusercontent.com/azure/azvmimagebuilder/master/solutions/12_Creating_AIB_Security_Roles/aibRoleNetworking.json"
$role_definition="aibRoleNetworking.json"
Invoke-WebRequest -Uri $sample_uri -Outfile $role_definition -UseBasicParsing
# Create a unique role name to avoid clashes in the same AAD domain
$timeInt=$(get-date -UFormat "%s")
$networkRoleDefName="Azure Image Builder Network Def"+$timeInt
# Update the JSON definition placeholders with variable values
((Get-Content -path $role_definition -Raw) -replace '<subscriptionID>',$sub_id) | Set-Content -Path $role_definition
((Get-Content -path $role_definition -Raw) -replace '<vnetRgName>', $res_group) | Set-Content -Path $role_definition
((Get-Content -path $role_definition -Raw) -replace 'Azure Image Builder Service Networking Role',$networkRoleDefName) | Set-Content -Path $role_definition
# Create a custom role from the aibRoleNetworking.json description file
New-AzRoleDefinition -InputFile $role_definition
# Get the user-identity properties
$identityNameResourceId=$(Get-AzUserAssignedIdentity -ResourceGroupName $imageResourceGroup -Name $identityName).Id
$identityNamePrincipalId=$(Get-AzUserAssignedIdentity -ResourceGroupName $imageResourceGroup -Name $identityName).PrincipalId
# Assign the custom role to the user-assigned managed identity for Azure Image Builder
$parameters = @{
ObjectId = $identityNamePrincipalId
RoleDefinitionName = $networkRoleDefName
Scope = '/subscriptions/' + $sub_id + '/resourceGroups/' + $res_group
}
New-AzRoleAssignment @parameters