Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Ogni fase di onboarding richiede permessi diversi. Separare l'accesso dell'operatore effettuato da quelli assegnati dallo strumento agli utenti, dalle identità dei carichi di lavoro e dal servizio Discovery. Non tenere attivo l'accesso elevato a livello di abbonamento per tutte le fasi solo perché la Fase 2 ne ha bisogno.
Terminologia di identità e ambito
| Identità | Purpose |
|---|---|
| Runner/operatore | Signed-in interfaccia della riga di comando di Azure identity che esegue uno stage. |
| Obiettivi umani | Gli utenti ricevono assegnazioni permanenti o l'idoneità al PIM dalla configurazione. |
| Identità gestita assegnata dall'utente (UAMI) | Identità runtime di proprietà del cliente fornita alle risorse di Discovery. |
| Principio di servizio del piano di controllo della scoperta | Un principale di servizio di prima parte che fornisce risorse gestite dal servizio; non un operatore umano o UAMI. |
Subscription Reader indica il ruolo integrato di Azure Reader, IDacdd72a7-3385-48ef-bd42-f606fba81ae7, o /subscriptions/<target-subscription-id> ereditato da un gruppo di gestione copertura. Il lettore solo RG è insufficiente per le letture di abbonamento/località, quote, cataloghi modelli e politiche. Discovery Platform Reader è un ruolo diverso e non lo sostituisce.
Proprietario/Contributore di abbonamenti includono le letture richieste, ma non elevare solo per la pianificazione in sola lettura. I permessi di risorsa di Azure inoltre non concedono automaticamente l'accesso alla ricerca della directory Microsoft Entra.
Anteprima offline ed analisi locale
Le fasi 2-5 non -DryRun richiedono permessi Azure, interfaccia della riga di comando di Azure o login. Leggono una configurazione utilizzabile e descrivono le azioni localmente.
Stage 1 può analizzare localmente il suo workbook, ma alcuni controlli Azure si degradano in Warn/Skip quando non sono disponibili. L'esportazione locale non garantisce la prontezza reale. Risolvere un nome principale non GUID può richiedere il login e la ricerca di directory anche quando altri workbook sono processati in zona.
Fase 1: Pianificazione
| Path | Accesso obbligatorio | Ambito e scopo |
|---|---|---|
| Controlli live di base | Lettore di Azure | Abbonamento target: visibilità del provider, dipendenze, SKU/quota VM, catalogo modello/TPM, policy visibili e letture delle risorse. |
| Disponibilità dei nomi dello spazio di lavoro | Ruolo personalizzato con Microsoft.Discovery/checkNameAvailability/action, o Discovery Platform Administrator |
Abbonamento Target; oltre alle letture di base. |
| Dettagli della polizza ereditata | Lettore o Lettore di Politiche Risorse dove si trovano le definizioni | Gruppo di gestione genitore applicabile; le letture in abbonamento da sole potrebbero non esporre definizioni ereditate. |
| Risoluzione del nome principale | Accesso di lettura della directory Entra approvato dai clienti | Inquilino Target. Fornire un ID oggetto Entra evita la ricerca del nome. |
Cognitive Services Usages Reader copre l'uso delle quote, non l'intero catalogo di modelli e i requisiti di lettura in abbonamento. La mancanza di accesso rende il controllo corrispondente non disponibile; esaminare il report invece di presumere che sia stato eseguito.
Fase 2: Preparazione della zona di atterraggio
Il percorso completo di preparazione richiede il Proprietario, o Contributore più Amministratore degli Accessi Utente, nell'ambito target di abbonamento. Questo copre i cambiamenti di risorse, la registrazione dei fornitori, la preparazione per ruoli personalizzati e gli incarichi/idoneità.
Contributor plus Role Based Controllo di accesso Administrator è l'alternativa supportata più ristretta solo quando il ruolo personalizzato NSP esiste già ed permanent-role-assignments è selezionato. Non usare questa combinazione come sostituto del percorso completo di abbonamento clean o di preparazione JIT.
Per customer-jit-managed, conferma che il cliente possiede la licenza PIM richiesta e una politica di idoneità che consenta la durata selezionata. L'accesso idoneo non è accesso attivo. Lo strumento non attiva i ruoli clienti.
La fase 2 assegna al principale del servizio Discovery del piano di controllo il ruolo personalizzato Discovery NSP Perimeter Joiner e il lettore in abbonamento. Il ruolo personalizzato autorizza le operazioni di associazione perimetrale, non l'amministrazione arbitraria delle regole perimetrali. Vedi la preparazione NSP.
Lo strumento prepara inoltre ruoli UAMI per l'accesso e il carico di lavoro alle persone umane. Nel suo percorso di distribuzione shared-UAMI, questi includono Discovery Platform Contributor, Storage Blob Data Contributor e AcrPull sulla piattaforma RG, e Network Contributor sul VNet (con un fallback network-RG se non viene trovato). Rivedi i telescopi reali e i RG separati; un telescopio di riserva non è la prova che il VNet previsto sia stato risolto.
Fase 3: Validazione della prontezza
| Percorso di esecuzione | Accesso obbligatorio | Scope |
|---|---|---|
| Controlli predefiniti di configurazione/prontezza | Lettore di Azure | Abbonamento Target. Nessuna VM creata. |
| Controlli di rete effettiva quando esiste una NIC utilizzabile | Lettore di base più Contributore di rete, oppure azioni personalizzate qui sotto | NIC e Network Watcher scope di risorse o i loro RG; non è necessario un Network Contributor aggiuntivo a livello di abbonamento. |
Ciclo di vita opzionale -WithVm della sonda |
Lettore di base più Contributore sulla sonda RG; Contributore di rete per un VNet/subnet in un RG diverso | Mantieni l'accesso attivo durante la pulizia. Questa modalità ha limitazioni di rilascio e non viene utilizzata dalla procedura principale di prontezza. |
I permessi personalizzati per la rete efficace sono:
Microsoft.Network/networkInterfaces/effectiveNetworkSecurityGroups/actionMicrosoft.Network/networkInterfaces/effectiveRouteTable/actionMicrosoft.Network/networkWatchers/nextHop/action
Queste azioni restituiscono lo stato di rete calcolato da Azure; non sostituiscono i test a livello di pacchetto. Vedi Valida prontezza.
Fase 4: Dispiegamento della piattaforma
Assegnare ogni ruolo nella persona Platform Administrator, negli ambiti documentati, inclusi i dipendenze di rete e UAMI di riferimento. Un singolo incarico di Discovery Platform Administrator non è l'intero set di ruoli di supporto di Azure.
Proprietario o Contributore dell'abbonamento dalla Fase 2 non è un requisito generale per la Fase 4. Separatamente, il runner ha bisogno dell'autorità di assegnazione del ruolo se deve creare assegnazioni permanenti di Foundry nel nuovo RG gestito dallo spazio di lavoro. La creazione dell'idoneità JIT richiede l'Amministratore o il Proprietario dell'Accesso Utente in un ambito di copertura appropriato.
I fallimenti nell'assegnazione della fonderia possono avvertire invece di fallire il provisioning della piattaforma. Verifica che gli utenti richiedano un accesso effettivo prima del passaggio di consegne. L'eleggibilità JIT appena creata richiede ancora l'attivazione degli utenti.
Fase 5: Verifica dello scenario
Assegnare l'intero ruolo di persona dello Scienziato agli ambiti documentati. Discovery Platform Contributor da solo non basta.
Il runner deve anche raggiungere l'endpoint del piano dati dello spazio di lavoro. Per gli spazi di lavoro privati, utilizzare l'esecuzione connessa a VNet, peered o VPN con DNS appropriato. La raggiungibilità e l'autorizzazione della rete sono prerequisiti indipendenti.
Responsabilità di attivazione e passaggio di mano
- Attiva i ruoli idonei al PIM prima della loro fase e rinnova l'accesso se un'operazione dura più di quanto attivata.
- Mantieni l'accesso attivo durante qualsiasi pulizia temporanea approvata delle risorse.
- Consentire la propagazione dei ruoli e verificare l'ambito effettivo invece di assegnare ruoli più ampi per aggirare i ritardi.
- Controlla separatamente i RG gestiti da piattaforma, rete, storage, DNS e workspace quando differiscono.
- Non sostituire un processo JIT approvato dalla policy con l'utility permanente standalone di assegnazione di persona.
- Mantieni separati il servizio e le assegnazioni UAMI dall'idoneità degli utenti; la modalità di accesso umano non rende temporaneo l'accesso al carico di lavoro.