Azure Virtual Desktop のロールベースのアクセス制御 (RBAC)
Azure Virtual Desktop では、Azure のロールベースのアクセス制御 (RBAC) を使用してリソースへのアクセスを制御します。 Azure Virtual Desktop で使用できる組み込みロールは多数あります。これらは、アクセス許可のコレクションです。 ユーザーと管理者にロールを割り当てます。これらのロールは、特定のタスクを実行するアクセス許可を付与します。
Azure の標準の組み込みロールは、''所有者''、''共同作成者''、および ''閲覧者'' です。 しかし、Azure Virtual Desktop にはさらにロールがあり、ホスト プール、アプリケーション グループ、およびワークスペースの管理ロールを分けることができます。 この分離により、管理タスクをより細かく制御できます。 これらのロールには、Azure の標準ロールと最小限の特権の手法に準拠した名前が付けられています。 Azure Virtual Desktop には特定の所有者ロールはありませんが、サービス オブジェクトには一般的な所有者ロールを使用できます。
Azure Virtual Desktop の組み込みロールとそれぞれのアクセス許可については、この記事で詳しく説明します。 必要なスコープに各ロールを割り当てることができます。 一部の Azure Desktop 機能には、割り当てられたスコープに固有の要件があります。関連する機能のドキュメントを参照してください。 詳細については、「Azure ロールの定義について」および「Azure RBAC のスコープについて」を参照してください。
デスクトップ仮想化共同作成者
デスクトップ仮想化共同作成者ロールを使用すると、すべての Azure Virtual Desktop リソースを管理できます。 アプリケーション グループをユーザー アカウントまたはユーザー グループに割り当てるには、''ユーザー アクセス管理者'' ロールも必要です。 このロールでは、ユーザーにコンピューティング リソースへのアクセス権は付与されません。
デスクトップ仮想化ユーザー
デスクトップ仮想化ユーザー ロールを使用すると、ユーザーは、アプリケーション グループからセッション ホスト上のアプリケーションを非管理ユーザーとして利用できます。
Desktop Virtualization Host Pool Contributor
デスクトップ仮想化ホスト プール共同作成者ロールを使用すると、ホスト プールのすべての側面を管理できます。 また、ポータルを使用して仮想マシンを作成するには ''仮想マシン共同作成者'' ロール、Azure Virtual Desktop をデプロイするには ''デスクトップ仮想化アプリケーション グループ共同作成者'' と ''デスクトップ仮想化ワークスペース共同作成者'' ロールが必要です。または、''デスクトップ仮想化共同作成者'' ロールを使用できます。
Desktop Virtualization Application Group Contributor
デスクトップ仮想化アプリケーション グループ共同作成者ロールを使用すると、アプリケーション グループのすべての側面を管理できます。 また、ユーザー アカウントまたはユーザー グループをアプリケーション グループに割り当てる場合、''ユーザー アクセス管理者'' ロールも必要です。
Desktop Virtualization Workspace Contributor
デスクトップ仮想化ワークスペース共同作成者ロールを使用すると、ワークスペースのすべての側面を管理できます。 関連するアプリケーション グループに追加されたアプリケーションに関する情報を取得するには、''デスクトップ仮想化アプリケーション グループ閲覧者'' ロールも必要です。
Desktop Virtualization User Session Operator
デスクトップ仮想化ユーザー セッション オペレーター ロールを使用すると、メッセージの送信、セッションの切断、および ''ログオフ'' 機能を使ったセッション ホストからのユーザーのサインアウトを行うことができます。 しかし、このロールでは、セッション ホストの削除やドレイン モードの変更など、ホスト プールやセッション ホストの管理を行うことはできません。 このロールでは割り当てを表示することはできますが、メンバーを変更することはできません。 このロールは、特定のホスト プールに割り当てることをお勧めします。 このロールをリソース グループ レベルで割り当てると、リソース グループのすべてのホスト プールに対する読み取りアクセス許可が付与されます。
Desktop Virtualization Session Host Operator
デスクトップ仮想化セッション ホスト オペレーター ロールを使用すると、セッション ホストを表示および削除したり、ドレイン モードを変更したりできます。 このロールでは、ホスト プール オブジェクトに対する書き込みアクセス許可がないため、Azure portal を使用してセッション ホストを追加することはできません。 Azure portal の外部でセッション ホストを追加するときに、登録トークンが有効 (生成され、期限切れではない) で、''仮想マシン共同作成者'' ロールも割り当てられている場合、このロールでホスト プールにセッション ホストを追加できます。
Desktop Virtualization Power On 共同作成者
デスクトップ仮想化電源オン共同作成者ロールは、Azure Virtual Desktop リソース プロバイダーが仮想マシンを起動できるようにするために使用されます。
Desktop Virtualization Power On Off 共同作成者
デスクトップ仮想化電源オン/オフ共同作成者ロールは、Azure Virtual Desktop リソース プロバイダーが仮想マシンを起動および停止できるようにするために使用されます。
デスクトップ仮想化仮想マシン共同作成者
デスクトップ仮想化仮想マシン共同作成者ロールは、Azure Virtual Desktop リソース プロバイダーが仮想マシンを作成、削除、更新、起動、停止できるようにするために使用されます。