Niestandardowe role RBAC dla zasobów operacji usługi Azure IoT

Aby zdefiniować role niestandardowe, które udzielają określonych uprawnień użytkownikom, możesz użyć kontroli dostępu opartej na rolach platformy Azure. Ten artykuł zawiera listę przykładów, które można pobrać i użyć jako odwołania do tworzenia ról niestandardowych.

Aby dowiedzieć się więcej na temat ról niestandardowych w kontroli dostępu opartej na rolach platformy Azure, zobacz Role niestandardowe platformy Azure.

Operacje usługi Azure IoT oferują również wbudowane role zaprojektowane w celu uproszczenia i bezpiecznego zarządzania dostępem dla zasobów operacji usługi Azure IoT. Aby uzyskać więcej informacji, zobacz Wbudowane role RBAC dla operacji IoT.

Przykłady ról niestandardowych

W poniższych sekcjach wymieniono przykładowe role niestandardowe operacji usługi Azure IoT, które można pobrać i użyć jako odwołania. Te role niestandardowe to pliki JSON, które zawierają listę określonych uprawnień i zakresu dla roli, których należy użyć jako punktu początkowego do utworzenia własnych ról niestandardowych.

Uwaga / Notatka

Poniżej przedstawiono tylko przykłady ról niestandardowych. Musisz przejrzeć i zmodyfikować uprawnienia w plikach JSON, aby spełnić określone wymagania.

Role dołączania

Możesz zdefiniować rolę dołączania , która udziela użytkownikowi wystarczających uprawnień, aby ukończyć proces łączenia usługi Azure Arc i bezpiecznie wdrożyć operacje usługi Azure IoT.

Rola niestandardowa	Opis
dołączanie	Jest to rola uprzywilejowana. Użytkownik może bezpiecznie ukończyć proces łączenia usługi Azure Arc i wdrożyć operacje usługi Azure IoT.

Role osoby przeglądającego

Możesz zdefiniować różne role osoby przeglądające , które udzielają dostępu tylko do odczytu do wystąpienia operacji usługi Azure IoT i jego zasobów. Te role są przydatne dla użytkowników, którzy muszą monitorować wystąpienie bez wprowadzania zmian.

Rola niestandardowa	Opis
Podgląd wystąpień	Ta rola umożliwia użytkownikowi wyświetlanie wystąpienia operacji usługi Azure IoT.
Podgląd zasobów	Ta rola umożliwia użytkownikowi wyświetlanie zasobów w wystąpieniu operacji usługi Azure IoT.
Podgląd urządzenia	Ta rola pozwala użytkownikowi przeglądać urządzenia w instancji Azure IoT Operations.
Podgląd przepływu danych	Ta rola umożliwia użytkownikowi wyświetlanie przepływów danych w wystąpieniu operacji usługi Azure IoT.
Podgląd docelowy przepływu danych	Ta rola umożliwia użytkownikowi wyświetlanie lokalizacji docelowych przepływu danych w wystąpieniu operacji usługi Azure IoT.
Przeglądarka MQ	Ta rola umożliwia użytkownikowi wyświetlanie brokera MQTT w wystąpieniu operacji usługi Azure IoT.
Osoba przeglądająca	Ta rola umożliwia użytkownikowi wyświetlanie wystąpienia operacji usługi Azure IoT. Ta rola to połączenie ról Example viewer, Asset viewer, Device viewer, Data flow viewer, Data flow viewer destination oraz MQ viewer.

Role administratorów

Możesz zdefiniować różne role administratora , które udzielają pełnego dostępu do wystąpienia operacji usługi Azure IoT i jego zasobów. Te role są przydatne dla użytkowników, którzy muszą zarządzać wystąpieniem i jego zasobami.

Rola niestandardowa	Opis
Administrator wystąpienia	Jest to rola uprzywilejowana. Użytkownik może wdrożyć wystąpienie. Rola obejmuje uprawnienia do tworzenia i aktualizowania wystąpień, brokerów, uwierzytelniania, odbiorników, profilów przepływu danych, punktów końcowych przepływu danych, rejestrów schematów i tożsamości przypisanych przez użytkownika. Rola obejmuje również uprawnienia do usuwania wystąpień.
Administrator zasobów	Użytkownik może tworzyć zasoby i zarządzać nimi w wystąpieniu operacji usługi Azure IoT.
Administrator urządzenia	Użytkownik może tworzyć i zarządzać urządzeniami w instancji Azure IoT Operations.
Administrator przepływu danych	Użytkownik może tworzyć przepływy danych i zarządzać nimi w wystąpieniu operacji usługi Azure IoT.
Administrator docelowy przepływu danych	Użytkownik może tworzyć miejsca docelowe przepływu danych i zarządzać nimi w wystąpieniu operacji usługi Azure IoT.
Administrator MQ	Użytkownik może utworzyć brokerA MQTT i zarządzać nim w wystąpieniu operacji usługi Azure IoT.
Administrator	Jest to rola uprzywilejowana. Użytkownik może utworzyć wystąpienie operacji usługi Azure IoT i zarządzać nim. Ta rola to połączenie ról administratora instancji, administratora zasobów, administratora urządzeń, administratora przepływu danych, administratora docelowego przepływu danych oraz administratora MQ .

Uwaga / Notatka

Przykładowe role administratora punktu końcowego zasobów i administratora docelowego przepływu danych mają dostęp do usługi Azure Key Vault i strony Zarządzanie wpisami tajnymi w internetowym interfejsie użytkownika środowiska operacji. Jednak nawet jeśli te role niestandardowe są przypisane na poziomie subskrypcji, użytkownicy mogą zobaczyć tylko listę magazynów kluczy z określonej grupy zasobów. Dostęp do rejestrów schematów jest również ograniczony do poziomu grupy zasobów.

Ważne

Obecnie internetowy interfejs użytkownika środowiska operacji wyświetla wprowadzający w błąd komunikat o błędzie, gdy użytkownik próbuje uzyskać dostęp do zasobu, dla którego nie ma uprawnień. Dostęp do zasobu jest blokowany zgodnie z oczekiwaniami.

Tworzenie niestandardowej definicji roli

Aby przygotować jedną z przykładowych ról niestandardowych:

1. Pobierz plik JSON dla roli niestandardowej, którą chcesz utworzyć. Plik JSON zawiera definicję roli, w tym uprawnienia i zakres roli.

2. Edytuj plik JSON, aby zastąpić wartość symbolu zastępczego assignableScopes w polu identyfikatorem subskrypcji. Zapisz zmiany.

Aby dodać rolę niestandardową do subskrypcji platformy Azure przy użyciu witryny Azure Portal:

1. Przejdź do subskrypcji w witrynie Azure Portal.

2. Wybierz pozycję Kontrola dostępu (IAM).

3. Wybierz pozycję Dodaj > rolę niestandardową.

4. Wprowadź nazwę, taką jak dołączanie, i opis roli.

5. Wybierz pozycję Rozpocznij od formatu JSON , a następnie wybierz pobrany plik JSON. Nazwa i opis roli niestandardowej są wypełniane z pliku.

6. Opcjonalnie przejrzyj uprawnienia i możliwe do przypisania zakresy.

7. Aby dodać rolę niestandardową do subskrypcji, wybierz pozycję Przejrzyj i utwórz , a następnie pozycję Utwórz.

Konfigurowanie i używanie roli niestandardowej

Po utworzeniu ról niestandardowych w ramach subskrypcji można przypisać je do użytkowników, grup lub aplikacji. Role można przypisywać na poziomie subskrypcji lub grupy zasobów. Przypisywanie ról na poziomie grupy zasobów umożliwia najbardziej szczegółową kontrolę.

Aby przypisać rolę niestandardową do użytkownika na poziomie grupy zasobów przy użyciu witryny Azure Portal:

1. Przejdź do grupy zasobów w witrynie Azure Portal.

2. Wybierz pozycję Kontrola dostępu (IAM).

3. Wybierz Dodaj > przypisanie roli.

4. Wyszukaj i wybierz rolę niestandardową, którą chcesz przypisać. Wybierz Dalej.

5. Wybierz użytkownika lub użytkowników, do których chcesz przypisać rolę. Możesz wyszukać użytkowników według nazwy lub adresu e-mail.

6. Wybierz pozycję Przejrzyj i przypisz , aby przejrzeć przypisanie roli. Jeśli wszystko wygląda dobrze, wybierz pozycję Przypisz.