Azure szerepkörök hozzárendelésének kezelése mások számára feltételekkel

Rendszergazdaként számos kérést kaphat arra, hogy hozzáférést adjon azokhoz az Azure-erőforrásokhoz, amelyeket másnak szeretne delegálni. Hozzárendelhet egy felhasználót tulajdonosi vagy felhasználói hozzáférés-rendszergazdai szerepkörökhöz, de ezek kiemelt jogosultságú szerepkörök. Ez a cikk azt ismerteti, hogyan delegálhat biztonságosabb szerepkör-hozzárendelés-kezelést a szervezet más felhasználóinak, de korlátozásokat adhat ezekhez a szerepkör-hozzárendelésekhez. Például korlátozhatja a hozzárendelhető szerepköröket, vagy azokat az entitásokat, amelyekhez a szerepkörök hozzárendelhetők.

Az alábbi ábra bemutatja, hogy a feltételekkel rendelkező meghatalmazottak csak a marketing- vagy értékesítési csoportokhoz rendelhetik (vagy távolíthatják el) a biztonsági mentési közreműködői vagy biztonsági mentési olvasó szerepköröket.

Előfeltételek

Azure-szerepkörök hozzárendeléséhez a következőkre van szükség:

• Microsoft.Authorization/roleAssignments/write engedélyek, például szerepköralapú hozzáférés-vezérlési rendszergazda vagy felhasználói hozzáférés-rendszergazda

1. lépés: A meghatalmazott által igényelt engedélyek meghatározása

A meghatalmazott által igényelt engedélyek meghatározásához válaszoljon a következő kérdésekre:

• Milyen szerepköröket rendelhet hozzá a meghatalmazott?
• Milyen szerepkör-hozzárendeléseket távolíthat el a meghatalmazott?
• Milyen típusú főegységekhez rendelhet a meghatalmazott szerepköröket?
• Mely tagokhoz rendelhet szerepköröket a meghatalmazott?

Miután megismerte a meghatalmazott által igényelt engedélyeket, az alábbi lépésekkel hozzáadhat egy feltételt a meghatalmazott szerepkör-hozzárendeléséhez. Például feltételek: Példák az Azure-szerepkör-hozzárendelések felügyeletének feltételekkel való delegálására.

Megjegyzés:

Az ezekben a lépésekben megadott feltételek adott szerepkörök hozzárendelésére vonatkoznak, de általában ugyanezekhez a szerepkörökhöz tartozó szerepkör-hozzárendelések eltávolítására is vonatkoznak.

2. lépés: Új szerepkör-hozzárendelés indítása

1. Jelentkezzen be a Azure portalra.

2. A szerepkör-hozzárendelés hozzáadása lap megnyitásához kövesse az alábbi lépéseket.

3. A Szerepkörök lapon válassza a Kiemelt rendszergazdai szerepkörök lapot.

4. Válassza ki a szerepköralapú hozzáférés-vezérlési rendszergazdai szerepkört.

   Megjelenik a Feltételek lap.

   Bármilyen szerepkört kiválaszthat, amely tartalmazza a Microsoft.Authorization/roleAssignments/writeMicrosoft.Authorization/roleAssignments/delete műveleteket, például a felhasználói hozzáférés-rendszergazdat, de a szerepköralapú hozzáférés-vezérlési rendszergazda kevesebb engedéllyel rendelkezik.

5. A Tagok lapon keresse meg és válassza ki a meghatalmazottat.

3. lépés: Feltétel hozzáadása

Kétféleképpen adhat hozzá feltételt. Használhat feltételsablont, vagy használhat speciális feltételszerkesztőt.

sablon

1. A Feltételek lapon, a Mit tehet a felhasználó, válassza az Engedélyezés a felhasználó számára, hogy csak a kijelölt szerepköröket rendelje hozzá a kiválasztott tagokhoz (kevesebb jogosultság) beállításhoz.

   

2. Válassza a Szerepkörök és a tagok kiválasztása lehetőséget.

   Megjelenik a Szerepkör-hozzárendelés hozzáadása feltétel oldala a feltételsablonok listájával.

   

3. Válasszon ki egy feltételsablont, majd válassza a Konfigurálás lehetőséget.

   Feltételsablon	Válassza ki ezt a sablont
   Szerepkörök korlátozása	Csak a kiválasztott szerepkörök hozzárendelésének engedélyezése a felhasználó számára A felhasználó csak a kijelölt szerepkörök szerepkör-hozzárendeléseinek eltávolítását engedélyezheti
   Szerepkörök és fő típusok korlátozása	Csak a kiválasztott szerepkörök hozzárendelésének engedélyezése a felhasználó számára Engedélyezi a felhasználónak, hogy ezeket a szerepköröket csak a kiválasztott egyszerű típusokhoz (felhasználókhoz, csoportokhoz vagy szolgáltatásnevekhez) rendelje hozzá. A felhasználónak csak a kijelölt szerepkörök és elsődleges típusok szerepkör-hozzárendeléseinek eltávolítását szabad engedélyezni.
   Szerepkörök és tagok korlátozása	Csak a kiválasztott szerepkörök hozzárendelésének engedélyezése a felhasználó számára A felhasználó csak az Ön által kiválasztott tagokhoz rendelheti hozzá ezeket a szerepköröket A felhasználónak csak a kijelölt szerepkörökhöz és entitásokhoz tartozó szerepkör-hozzárendelések eltávolítása engedélyezett.
   Minden engedélyezése, kivéve meghatározott szerepköröket	Az összes szerepkör hozzárendelésének engedélyezése a felhasználó számára a kiválasztott szerepkörök kivételével Lehetővé teszi a felhasználó számára, hogy eltávolítsa az összes szerepkör-hozzárendelést, kivéve a kijelölt szerepkörökhöz tartozóakat.

4. A konfigurálás panelen adja hozzá a szükséges konfigurációkat.

   

5. Kattintson a Mentés gombra, hogy hozzáadja a feltételt a szerepkör-hozzárendeléshez.

Feltételszerkesztő

Ha a feltételsablonok nem működnek a forgatókönyvhöz, vagy ha további szabályozásra van szüksége, használhatja a feltételszerkesztőt.

Feltételszerkesztő megnyitása

1. A Feltételek lapon, a Mit tehet a felhasználó, válassza az Engedélyezés a felhasználó számára, hogy csak a kijelölt szerepköröket rendelje hozzá a kiválasztott tagokhoz (kevesebb jogosultság) beállításhoz.

   

2. Válassza a Szerepkörök és a tagok kiválasztása lehetőséget.

   Megjelenik a Szerepkör-hozzárendelés hozzáadása feltétel oldala a feltételsablonok listájával.

   

3. Válassza a Speciális feltételszerkesztő megnyitása lehetőséget.

   Megjelenik a Szerepkör hozzárendelés feltételeinek hozzáadása oldal.

4. A Szerkesztő típusa beállításnál hagyja bejelölve az alapértelmezett vizualizációt .

Adj műveletet hozzá

1. A Művelet hozzáadása szakaszban válassza a Művelet hozzáadása lehetőséget.

   Megjelenik a Művelet kiválasztása panel. Ez a panel egy szűrt lista azokról a műveletekről, amelyek a feltétel céljaként megadott szerepkör-hozzárendelésen alapulnak.

   

2. Válassza ki azt a szerepkör-hozzárendelés-létrehozási vagy -frissítési műveletet, amelyet engedélyezni szeretne, ha a feltétel teljesül.

   Jótanács

   Ha a szerepkör-hozzárendelések létrehozása vagy frissítése , valamint a szerepkör-hozzárendelési műveletek törlése lehetőséget választja, nem fog tudni feltételkifejezést hozzáadni. Ha mindkét műveletet meg szeretné célozni, két feltételt kell hozzáadnia. További információ : Példa: Szerepkörök korlátozása.

Kifejezések létrehozása

1. A Kifejezés összeállítása szakaszban válassza a Kifejezés hozzáadása lehetőséget.

   Itt hozhatja létre azt a kifejezést, amely korlátozza, hogy milyen szerepkör-hozzárendeléseket adhat hozzá a meghatalmazott.

2. Az Attribútum forráslistájában válassza a Kérés lehetőséget.

3. Az Attribútumok listában válassza ki a kifejezés bal oldalán található alábbi attribútumok egyikét.

   • A szerepkördefiníció azonosítója a meghatalmazott által hozzárendelhető szerepkörök korlátozására szolgál.
   • A Principal ID arra szolgál, hogy korlátozza azokat az alanyokat, amelyekhez a meghatalmazott szerepköröket rendelhet.
   • Fő típussal korlátozható azoknak a tagoknak (felhasználóknak, csoportoknak vagy szolgáltatási fő példányoknak) a típusa, amelyekhez a meghatalmazott szerepköröket rendelhet.

4. Az Operátor listában válasszon ki egy operátort.

   A létrehozni kívánt attribútumtól és kifejezéstől függően általában ezeket az operátorokat kell kiválasztania, amelyek lehetővé teszik, hogy a kifejezés jobb oldalán egy vagy több értéket jelöljön ki.

   Attribútum	Közös operátor
   szerepkördefiníció azonosítója	ForAnyOfAnyValues:GuidEquals ForAnyOfAllValues:GuidNotEquals
   Egyszerű azonosító	ForAnyOfAnyValues:GuidEquals
   Elsődleges típus	ForAnyOfAnyValues:StringEqualsIgnoreCase

5. Az Érték mezőbe írjon be egy vagy több értéket a kifejezés jobb oldalán.

   

6. Szükség szerint adjon hozzá további kifejezéseket.

   Jótanács

   Ha több kifejezést ad hozzá a szerepkör-hozzárendelések felügyeletének feltételekkel történő delegálásához, általában az And operátort használja a kifejezések között az alapértelmezett Vagy operátor helyett.

7. Kattintson a Mentés gombra, hogy hozzáadja a feltételt a szerepkör-hozzárendeléshez.

4. lépés: Szerepkör hozzárendelése delegálandó feltétellel

1. Az Áttekintés + hozzárendelés lapon tekintse át a szerepkör-hozzárendelés beállításait.

2. Válassza a Véleményezés + hozzárendelés lehetőséget a szerepkör hozzárendeléséhez.

   Néhány pillanat múlva a meghatalmazott a szerepköralapú hozzáférés-vezérlési rendszergazdai szerepkörhöz lesz hozzárendelve a szerepkör-hozzárendelési feltételekkel.

5. lépés: A meghatalmazott feltételekkel rendeli hozzá a szerepköröket

• A meghatalmazott mostantól követheti a szerepkörök hozzárendelésének lépéseit.

  

  Amikor a meghatalmazott megpróbál szerepköröket hozzárendelni az Azure Portalon, a szerepkörök listája szűrve lesz, hogy csak a hozzárendelhető szerepkörök jelenjenek meg.

  

  Ha a rendszer feltételekkel rendelkezik a tagok számára, a rendszer szűri a hozzárendeléshez rendelkezésre álló tagok listáját is.

  

  Ha a meghatalmazott egy API-n kívül eső szerepkört próbál hozzárendelni, a szerepkör-hozzárendelés hiba miatt meghiúsul. További információ: Tünet – Nem lehet szerepkört hozzárendelni.

Feltétel szerkesztése

A feltételek kétféleképpen szerkeszthetők. Használhatja a feltételsablont, vagy használhatja a feltételszerkesztőt.

1. Az Azure Portalon nyissa meg a Hozzáférés-vezérlési (IAM) lapot annak a szerepkör-hozzárendelésnek, amelynek a megtekintéséhez, szerkesztéséhez vagy törléséhez feltétel tartozik.

2. Válassza a Szerepkör-hozzárendelések lapot, és keresse meg a szerepkör-hozzárendelést.

3. A Feltétel oszlopban válassza a Nézet/Szerkesztés lehetőséget.

   Ha nem látja a Nézet/Szerkesztés hivatkozást, győződjön meg arról, hogy ugyanazt a hatókört látja, mint a szerepkör-hozzárendelés.

   

   Megjelenik a Szerepkör-hozzárendelés hozzáadása feltétel oldal. Ez a lap attól függően változik, hogy a feltétel megfelel-e egy meglévő sablonnak.

4. Ha a feltétel egyezik egy meglévő sablonnal, válassza a Konfigurálás lehetőséget a feltétel szerkesztéséhez.

   

5. Ha a feltétel nem egyezik meg egy meglévő sablonnal, a speciális feltételszerkesztő használatával szerkesztheti a feltételt.

   Ha például szerkeszteni szeretne egy feltételt, görgessen le a buildkifejezés szakaszához, és frissítse az attribútumokat, operátorokat vagy értékeket.

   

   A feltétel közvetlen szerkesztéséhez válassza ki a Kódszerkesztő típusát, majd szerkessze a feltétel kódját.

   

6. Ha végzett, kattintson a Mentés gombra a feltétel frissítéséhez.

Következő lépések

• Azure-hozzáférés-kezelés delegálása másoknak
• engedélyezési műveletek és attribútumok