Przypisywanie ról RBAC do jednostek usługi Azure Virtual Desktop

Artykuł
12/09/2023

Kilka funkcji usługi Azure Virtual Desktop wymaga przypisania ról kontroli dostępu na podstawie ról (RBAC) platformy Azure do jednej z jednostek usługi Azure Virtual Desktop. Funkcje, które należy przypisać do jednostki usługi Azure Virtual Desktop, obejmują:

Autoskalowanie.
Uruchom maszynę wirtualną w Połączenie.
Dołączanie aplikacji (w przypadku korzystania z usługi Azure Files i hostów sesji dołączonych do identyfikatora Entra firmy Microsoft).

Napiwek

Możesz znaleźć rolę, którą należy przypisać do jednostki usługi w artykule dotyczącym każdej funkcji. Aby uzyskać listę wszystkich dostępnych ról przeznaczonych specjalnie dla usługi Azure Virtual Desktop, zobacz Wbudowane role RBAC platformy Azure dla usługi Azure Virtual Desktop Aby dowiedzieć się więcej na temat kontroli dostępu opartej na rolach platformy Azure, zobacz dokumentację RBAC platformy Azure.

W zależności od tego, kiedy zarejestrowano dostawcę zasobów Microsoft.DesktopVirtualization , nazwy główne usługi zaczynają się od usługi Azure Virtual Desktop lub Windows Virtual Desktop. Jeśli użyto zarówno klasycznej usługi Azure Virtual Desktop, jak i usługi Azure Virtual Desktop (Azure Resource Manager), zobaczysz aplikacje o tej samej nazwie. Możesz upewnić się, że przypisujesz role do prawidłowej jednostki usługi, sprawdzając jej identyfikator aplikacji. Identyfikator aplikacji dla każdej jednostki usługi znajduje się w poniższej tabeli:

Jednostka usługi	Application ID
Azure Virtual Desktop Windows Virtual Desktop	9cdead84-a844-4324-93f2-b2e6bb768d07
Azure Virtual Desktop Client Windows Virtual Desktop Client	a85cf173-4192-42f8-81fa-777a763e6e2c
Azure Virtual Desktop ARM Provider Windows Virtual Desktop ARM Provider	50e95039-b200-4007-bc97-8d5790743a63

W tym artykule pokazano, jak przypisać rolę do poprawnych jednostek usługi Azure Virtual Desktop przy użyciu witryny Azure Portal, interfejsu wiersza polecenia platformy Azure lub programu Azure PowerShell.

Wymagania wstępne

Przed przypisaniem roli do jednostki usługi Azure Virtual Desktop należy spełnić następujące wymagania wstępne:

Aby przypisać role w tej subskrypcji, musisz mieć Microsoft.Authorization/roleAssignments/write uprawnienie do subskrypcji platformy Azure. To uprawnienie jest częścią wbudowanych ról właściciela lub dostępu użytkowników Administracja istrator.
Jeśli chcesz używać programu Azure PowerShell lub interfejsu wiersza polecenia platformy Azure lokalnie, zobacz Używanie interfejsu wiersza polecenia platformy Azure i programu Azure PowerShell z usługą Azure Virtual Desktop, aby upewnić się, że masz zainstalowany moduł Az.DesktopVirtualization programu PowerShell lub rozszerzenie interfejsu wiersza polecenia platformy Azure dla komputerów wirtualnych. Alternatywnie użyj usługi Azure Cloud Shell.

Przypisywanie roli do jednostki usługi Azure Virtual Desktop

Aby przypisać rolę do jednostki usługi Azure Virtual Desktop, wybierz odpowiednią kartę dla danego scenariusza i wykonaj kroki. W tych przykładach zakres przypisania roli to subskrypcja platformy Azure, ale musisz użyć zakresu i roli wymaganej przez każdą funkcję.

Poniżej przedstawiono sposób przypisywania roli do jednostki usługi Azure Virtual Desktop przy użyciu witryny Azure Portal.

Zaloguj się w witrynie Azure Portal.
W polu wyszukiwania wpisz Microsoft Entra ID i wybierz pasujący wpis usługi.
Na stronie Przegląd w polu wyszukiwania Wyszukaj w dzierżawie wprowadź identyfikator aplikacji dla jednostki usługi, którą chcesz przypisać z wcześniejszej tabeli.
W wynikach wybierz zgodną aplikację przedsiębiorstwa dla jednostki usługi, którą chcesz przypisać, zaczynając od usługi Azure Virtual Desktop lub Windows Virtual Desktop.
W obszarze właściwości zanotuj nazwę i identyfikator obiektu. Identyfikator obiektu jest skorelowany z identyfikatorem aplikacji i jest unikatowy dla dzierżawy.
W polu wyszukiwania wpisz Subskrypcje i wybierz pasujący wpis usługi.
Wybierz subskrypcję, do której chcesz dodać przypisanie roli.
Wybierz pozycję Kontrola dostępu (zarządzanie dostępem i tożsamościami), a następnie wybierz pozycję + Dodaj , a następnie dodaj przypisanie roli.
Wybierz rolę, którą chcesz przypisać do jednostki usługi Azure Virtual Desktop, a następnie wybierz pozycję Dalej.
Upewnij się, że pozycja Przypisz dostęp do jest ustawiona na wartość Microsoft Entra user, group lub service principal, a następnie wybierz pozycję Wybierz członków.
Wprowadź nazwę aplikacji dla przedsiębiorstw zanotuj wcześniej.
Wybierz pasujący wpis z wyników, a następnie wybierz pozycję Wybierz. Jeśli masz dwa wpisy o tej samej nazwie, wybierz je na razie.
Przejrzyj listę elementów członkowskich w tabeli. Jeśli masz dwa wpisy, usuń wpis, który nie jest zgodny z identyfikatorem obiektu zanotowanymi wcześniej.
Wybierz pozycję Dalej, a następnie wybierz pozycję Przejrzyj i przypisz , aby ukończyć przypisanie roli.

Poniżej przedstawiono sposób przypisywania roli do jednostki usługi Azure Virtual Desktop przy użyciu modułu Az.DesktopVirtualization programu PowerShell.

Uruchom usługę Azure Cloud Shell w witrynie Azure Portal z typem terminalu programu PowerShell lub uruchom program PowerShell na urządzeniu lokalnym.
1. Jeśli używasz usługi Cloud Shell, upewnij się, że kontekst platformy Azure jest ustawiony na subskrypcję, której chcesz użyć.
2. Jeśli używasz programu PowerShell lokalnie, najpierw zaloguj się przy użyciu programu Azure PowerShell, a następnie upewnij się, że kontekst platformy Azure jest ustawiony na subskrypcję, której chcesz użyć.

Znajdź identyfikator subskrypcji, do której chcesz dodać przypisanie roli, wyświetlając listę wszystkich dostępnych dla Ciebie za pomocą następującego polecenia:
```
Get-AzSubscription
```
Zapisz identyfikator subskrypcji w zmiennej, uruchamiając następujące polecenie, zastępując identyfikator subskrypcji w tym przykładzie własnym:
```
$subId = "00000000-0000-0000-0000-000000000000"
```

Przypisz rolę do jednostki usługi azure Virtual Desktop, uruchamiając następujące polecenie, zastępując wartość RoleDefinitionName parametru nazwą roli, którą chcesz przypisać, oraz ApplicationId parametr identyfikatorem aplikacji jednostki usługi, którą chcesz przypisać z wcześniejszej tabeli. W tym przykładzie przypisano rolę Współautor włączania wirtualizacji pulpitu do jednostki usługi Azure Virtual Desktop w ramach subskrypcji:

$parameters = @{
    RoleDefinitionName = "Desktop Virtualization Power On Off Contributor"
    ApplicationId = "9cdead84-a844-4324-93f2-b2e6bb768d07"
    Scope = "/subscriptions/$subId"
}

New-AzRoleAssignment @parameters

Dane wyjściowe powinny być podobne do następującego przykładu:

RoleAssignmentName : c5221262-d1fa-4d32-9d60-8bd86f618d20
RoleAssignmentId   : /subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleAssignments/c5221262-d1fa-4d32-9d60-8bd86f618d20
Scope              : /subscriptions/00000000-0000-0000-0000-000000000000
DisplayName        : Azure Virtual Desktop
SignInName         : 
RoleDefinitionName : Desktop Virtualization Power On Off Contributor
RoleDefinitionId   : 40c5ff49-9181-41f8-ae61-143b0e78555e
ObjectId           : 00000000-0000-0000-0000-000000000000
ObjectType         : ServicePrincipal
CanDelegate        : False
Description        : 
ConditionVersion   : 
Condition          :

Poniżej przedstawiono sposób przypisywania roli do jednostki usługi Azure Virtual Desktop przy użyciu rozszerzenia pulpituwirtualizacji dla interfejsu wiersza polecenia platformy Azure.

Uruchom usługę Azure Cloud Shell w witrynie Azure Portal z typem terminalu powłoki Bash lub uruchom interfejs wiersza polecenia platformy Azure na urządzeniu lokalnym.
1. Jeśli używasz usługi Cloud Shell, upewnij się, że kontekst platformy Azure jest ustawiony na subskrypcję, której chcesz użyć.
2. Jeśli używasz interfejsu wiersza polecenia platformy Azure lokalnie, najpierw zaloguj się przy użyciu interfejsu wiersza polecenia platformy Azure, upewnij się, że kontekst platformy Azure jest ustawiony na subskrypcję, której chcesz użyć.

Znajdź identyfikator subskrypcji, do której chcesz dodać przypisanie roli, wyświetlając listę wszystkich dostępnych dla Ciebie za pomocą następującego polecenia:
```
az account list --output table
```
Zapisz wartość subscriptionId w zmiennej, uruchamiając następujące polecenie, zastępując identyfikator subskrypcji w tym przykładzie własnym:
```
subId=00000000-0000-0000-0000-000000000000
```

Przypisz rolę do jednostki usługi azure Virtual Desktop, uruchamiając następujące polecenie, zastępując wartość role parametru nazwą roli, którą chcesz przypisać, oraz assignee parametr identyfikatorem aplikacji jednostki usługi, którą chcesz przypisać z wcześniejszej tabeli. W tym przykładzie przypisano rolę Współautor włączania wirtualizacji pulpitu do jednostki usługi Azure Virtual Desktop w ramach subskrypcji:

az role assignment create \
    --assignee "9cdead84-a844-4324-93f2-b2e6bb768d07" \
    --role "Desktop Virtualization Power On Off Contributor" \
    --scope "/subscriptions/$subId"

Dane wyjściowe powinny być podobne do następującego przykładu:

{
  "condition": null,
  "conditionVersion": null,
  "createdBy": null,
  "createdOn": "2023-06-22T13:50:22.978226+00:00",
  "delegatedManagedIdentityResourceId": null,
  "description": null,
  "id": "/subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleAssignments/a211100e-aa52-4f8d-aac9-ad0833f969d0",
  "name": "a211100e-aa52-4f8d-aac9-ad0833f969d0",
  "principalId": "00000000-0000-0000-0000-000000000000",
  "principalType": "ServicePrincipal",
  "roleDefinitionId": "/subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleDefinitions/40c5ff49-9181-41f8-ae61-143b0e78555e",
  "scope": "/subscriptions/00000000-0000-0000-0000-000000000000",
  "type": "Microsoft.Authorization/roleAssignments",
  "updatedBy": "effe20b0-5afb-4e68-a5d7-f8ef9873a070",
  "updatedOn": "2023-06-22T13:50:23.335229+00:00"
}

Następne kroki

Dowiedz się więcej o wbudowanych rolach RBAC platformy Azure dla usługi Azure Virtual Desktop.

Udostępnij za pośrednictwem

Przypisywanie ról RBAC do jednostek usługi Azure Virtual Desktop

Wymagania wstępne

Przypisywanie roli do jednostki usługi Azure Virtual Desktop

Następne kroki

Dodatkowe zasoby