이 문서에서는 Microsoft Entra ID에서 ID를 관리하는 방법과 Microsoft 플래네터리 컴퓨터 프로 에 대한 RBAC(역할 기반 액세스 제어)를 구성하는 방법을 보여 줍니다. 이 프로세스를 통해 사용자는 특정 GeoCatalog 리소스 액세스 권한을 Microsoft Entra ID에 할당할 수 있습니다.
필수 조건
- 활성 구독이 있는 Azure 계정 - 무료 계정 만들기
- 기존 GeoCatalog 리소스
- Azure CLI(CLI 기반 역할 할당의 경우)
-
az login를 통해 Azure에 인증되었습니다. GeoCatalog 컨트롤 플레인 API에는user_impersonation범위를 사용하는 Azure Active Directory OAuth2 인증이 필요합니다. Azure CLI 로그인 후 자동으로 처리합니다.
사용자 만들기 및 관리
Microsoft Entra ID 작성, 초대 및 삭제 방법 문서에 따라 사용자 목록을 만들고 관리합니다. 사용자가 만들어지면 하나 이상의 RBAC 역할을 할당하여 GeoCatalog 리소스에 액세스할 수 있는 적절한 권한을 부여해야 합니다.
Planetary Computer Pro는 Azure 기본 제공 역할 외에도 두 개의 GeoCatalog 리소스 관련 역할을 정의합니다.
| 역할 | 설명 | RBAC 관리를 허용합니까? |
|---|---|---|
| GeoCatalog 관리자 | 사용자가 GeoCatalog 내에서 데이터를 읽고, 쓰고, 삭제할 수 있습니다. | 아니오 |
| GeoCatalog 판독기 | 사용자가 GeoCatalogs 데이터만 읽을 수 있습니다. | 아니오 |
| 소유자 | RBAC를 관리하는 기능을 포함하여 모든 리소스에 대한 모든 액세스 권한을 부여하는 Azure 기본 제공 역할입니다. | 예 |
| 사용자 액세스 관리자 | Azure 리소스에 대한 사용자 액세스를 관리할 수 있는 Azure 기본 제공 역할입니다. | 예 |
| 역할 기반 액세스 제어 관리자 | RBAC 할당 및 사용 권한을 관리할 수 있는 Azure 기본 제공 역할입니다. | 예 |
비고
소유자는GeoCatalog 관리자이기도 합니다.
인증 및 권한 부여 개요
RBAC를 통해 ID에 권한을 부여하려면 먼저 Microsoft Entra ID 인증해야 합니다. 인증 방법은 GeoCatalog에 액세스하는 ID 유형에 따라 달라집니다.
| ID 형식 | 인증 방법 | 그런 다음 로 인증하세요 |
|---|---|---|
| 사용자 (포털, CLI, 탐색기) | 대화형 로그인(az login 또는 브라우저 OAuth2) |
이 문서에서 할당된 RBAC 역할 |
| 관리형 ID (Azure의 앱) | Azure 인프라를 통한 자동 토큰 | 이 문서에서 할당된 RBAC 역할 |
| 서비스 주체(Azure 외부 앱) | Entra 앱 등록을 통한 클라이언트 암호/인증서 | 이 문서에서 할당된 RBAC 역할 |
모든 GeoCatalog 제어 플레인 및 데이터 플레인 작업에는 user_impersonation 범위가 포함된 유효한 OAuth2 베어러 토큰이 필요합니다. 시나리오별 자세한 설정은 애플리케이션 인증 구성을 참조하세요. AZURE RBAC 개념에 대한 자세한 내용은 Azure 역할 기반 액세스 제어 개요를 참조하세요.
사용자에게 역할 기반 액세스 제어 할당
Azure Portal을 사용하여 Planetary Computer Pro 사용자에게 RBAC 역할을 할당할 수 있습니다. 이 섹션에서는 GeoCatalog Access Control(IAM) 컨트롤을 사용하여 하나 이상의 사용자에게 GeoCatalog 관리자 역할을 할당하는 방법을 보여 줍니다.
Azure Portal 내에서 왼쪽 사이드바의 GeoCatalog 리소스 액세스 제어(IAM) 탭으로 이동합니다.
역할 할당 추가를> 선택합니다.
작업 함수 역할 목록에서 GeoCatalog 관리자를 선택한 다음 페이지 아래쪽의 다음 단추를 선택합니다.
사용자, 그룹 또는 서비스 주체의 라디오 단추를 선택합니다.
멤버 선택
오른쪽에 표시되는 구성원 선택 창에서 사용자를 검색합니다. 목록에서 이름 또는 ID를 선택하여 선택한 구성원 목록에 추가합니다. 이 역할을 할당해야 하는 각 사용자에 대해 이 단계를 반복합니다.
이 역할을 할당해야 하는 모든 사용자를 선택하면 창 아래쪽의 선택 단추를 사용하여 창을 닫습니다.
페이지 아래쪽의 다음을 선택합니다.
정보를 확인한 다음 검토 + 할당을 선택하여 할당을 완료합니다.
이제 선택한 사용자는 Azure Portal 또는 API를 통해 GeoCatalog 리소스에 액세스할 수 있습니다.
Azure CLI 사용하여 역할 할당
ARM 컨트롤 플레인 API(Microsoft.Authorization/roleAssignments)를 호출하는 Azure CLI 사용하여 RBAC 역할을 할당할 수도 있습니다.
역할 할당
# Define variables
SUBSCRIPTION_ID="{your-subscription-id}"
RESOURCE_GROUP="{your-resource-group}"
GEOCATALOG_NAME="{your-geocatalog-name}"
ASSIGNEE_OBJECT_ID="{user-or-service-principal-object-id}"
# GeoCatalog Administrator role definition ID
ROLE_DEFINITION_ID="$(az role definition list --name "GeoCatalog Administrator" --query "[0].id" -o tsv)"
# Assign the role scoped to the GeoCatalog resource
az role assignment create \
--assignee-object-id "$ASSIGNEE_OBJECT_ID" \
--role "$ROLE_DEFINITION_ID" \
--scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME"
역할 할당 제거
az role assignment delete \
--assignee "$ASSIGNEE_OBJECT_ID" \
--role "GeoCatalog Administrator" \
--scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME"
GeoCatalog에 대한 역할 할당 나열
az role assignment list \
--scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME" \
--output table