Gestire l'accesso per Computer Planetario Pro di Microsoft

Questo articolo illustra come gestire le identità in Microsoft Entra ID e come configurare il controllo degli accessi in base al ruolo (RBAC) per Computer Planetario Pro di Microsoft. Questo processo consente all'utente di assegnare autorizzazioni di accesso alle risorse GeoCatalog specifiche alle identità di Microsoft Entra.

Prerequisiti

Creazione e gestione di utenti

Creare e gestire l'elenco degli utenti seguendo l'articolo informativo su Microsoft Entra ID su come creare, invitare ed eliminare gli utenti. Dopo aver creato gli utenti, è necessario concedere loro le autorizzazioni appropriate per accedere a una risorsa GeoCatalog, assegnando uno o più ruoli RBAC.

Planetary Computer Pro definisce due ruoli specifici delle risorse GeoCatalog, oltre ai ruoli predefiniti di Azure:

Ruolo Descrizione Consente la gestione del controllo degli accessi in base al ruolo?
Amministratore GeoCatalog Consente all'utente di leggere, scrivere ed eliminare dati all'interno di un GeoCatalog NO
Lettore GeoCatalog Consente all'utente di leggere solo i dati GeoCatalogs. NO
Proprietario Ruolo predefinito di Azure che concede l'accesso completo a tutte le risorse, inclusa la capacità di gestire il controllo degli accessi in base al ruolo. Sì
Amministratore accessi utente Ruolo predefinito di Azure che consente la gestione dell'accesso utente alle risorse di Azure. Sì
Amministratore controllo degli accessi in base al ruolo Ruolo predefinito di Azure che consente la gestione delle assegnazioni di RBAC e dei permessi. Sì

Annotazioni

Il proprietario è anche un amministratore GeoCatalog.

Panoramica dell'autenticazione e dell'autorizzazione

Prima che un'identità possa essere autorizzata tramite il controllo degli accessi in base al ruolo, deve prima eseguire l'autenticazione per Microsoft Entra ID. Il metodo di autenticazione dipende dal tipo di identità che accede a GeoCatalog:

Tipo di identità Metodo di autenticazione Autorizzare quindi con
Utente (portale, interfaccia della riga di comando, Explorer) Accesso interattivo (az login o tramite browser OAuth2) Ruoli RBAC assegnati in questo articolo
Identità gestita (app in Azure) Token automatico tramite infrastruttura Azure Ruoli RBAC assegnati in questo articolo
Entità servizio (app esterne ad Azure) Segreto client/certificato tramite registrazione dell'app Entra Ruoli RBAC assegnati in questo articolo

Tutte le operazioni del piano di controllo GeoCatalog e del piano dati richiedono un token di connessione OAuth2 valido con l'ambito user_impersonation. Per informazioni dettagliate sulla configurazione per ogni scenario, vedere Configurare l'autenticazione dell'applicazione. Per ulteriori informazioni sui ruoli di RBAC di Azure, vedi Panoramica del controllo degli accessi in base al ruolo di Azure.

Assegnare il controllo degli accessi in base al ruolo a un utente

È possibile usare il portale di Azure per assegnare ruoli RBAC agli utenti del Planetary Computer Pro. Questa sezione illustra come usare i controlli IAM (GeoCatalog Controllo di accesso) per assegnare il ruolo di amministratore GeoCatalog a uno o più utenti.

  1. Nel portale di Azure passare alla scheda Controllo di accesso alle risorse GeoCatalog (IAM) nella barra laterale sinistra:

    Screenshot del pannello IAM nel portale di Azure per la configurazione del controllo degli accessi in base al ruolo.

  2. Selezionare Aggiungi assegnazione>di ruolo.

  3. Selezionare GeoCatalog Administrator (Amministratore GeoCatalog ) nell'elenco dei ruoli della funzione job e quindi selezionare il pulsante Avanti nella parte inferiore della pagina:

    Screenshot che mostra le opzioni di assegnazione dei ruoli RBAC nel portale di Azure.

  4. Selezionare il pulsante di opzione dell’Utente, gruppo o entità servizio:

    Screenshot che mostra la sezione membri durante l'assegnazione di ruolo Controllo degli accessi in base al ruolo nel portale di Azure.

  5. Selezionare Seleziona membri

  6. Cercare l'utente nel riquadro Seleziona membri visualizzato sul lato destro. Selezionare un nome o un'identità dall'elenco per aggiungerlo all'elenco Membri selezionati. Ripetere questo passaggio per ognuno degli utenti a cui è necessario assegnare questo ruolo.

  7. Quando vengono selezionati tutti gli utenti per i quali è necessario assegnare questo ruolo, usare il pulsante Seleziona nella parte inferiore del riquadro per chiudere il riquadro.

  8. Nella parte inferiore della pagina, selezionare Avanti.

  9. Verificare le informazioni, quindi completare l'assegnazione selezionando rivedi e assegna.

Ora gli utenti selezionati sono in grado di accedere alla risorsa GeoCatalog, tramite il portale di Azure o le API.

Assegnare ruoli usando il interfaccia della riga di comando di Azure

È anche possibile assegnare ruoli RBAC usando l'interfaccia della riga di comando di Azure, che richiama l'API del piano di controllo dell'ARM (Microsoft.Authorization/roleAssignments).

Assegnare un ruolo

# Define variables
SUBSCRIPTION_ID="{your-subscription-id}"
RESOURCE_GROUP="{your-resource-group}"
GEOCATALOG_NAME="{your-geocatalog-name}"
ASSIGNEE_OBJECT_ID="{user-or-service-principal-object-id}"

# GeoCatalog Administrator role definition ID
ROLE_DEFINITION_ID="$(az role definition list --name "GeoCatalog Administrator" --query "[0].id" -o tsv)"

# Assign the role scoped to the GeoCatalog resource
az role assignment create \
  --assignee-object-id "$ASSIGNEE_OBJECT_ID" \
  --role "$ROLE_DEFINITION_ID" \
  --scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME"

Rimuovere un'assegnazione di ruolo

az role assignment delete \
  --assignee "$ASSIGNEE_OBJECT_ID" \
  --role "GeoCatalog Administrator" \
  --scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME"

Elencare le assegnazioni di ruolo per un GeoCatalog

az role assignment list \
  --scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME" \
  --output table

Contenuti correlati

  • Ultimo aggiornamento: