Kontrola dostępu oparta na rolach platformy Azure w usłudze Azure Lab Services

Usługa Azure Lab Services udostępnia wbudowaną kontrolę dostępu opartą na rolach (RBAC) platformy Azure dla typowych scenariuszy zarządzania w usługach Azure Lab Services. Osoba, która ma profil w usłudze Microsoft Entra ID, może przypisać te role platformy Azure użytkownikom, grupom, jednostkom usługi lub tożsamościom zarządzanym w celu udzielenia lub odmowy dostępu do zasobów i operacji w zasobach usługi Azure Lab Services. W tym artykule opisano różne wbudowane role obsługiwane przez usługę Azure Lab Services.

Kontrola dostępu oparta na rolach (RBAC) platformy Azure to system autoryzacji oparty na usłudze Azure Resource Manager , który zapewnia szczegółowe zarządzanie dostępem do zasobów platformy Azure.

Kontrola dostępu oparta na rolach platformy Azure określa wbudowane definicje ról, które przedstawiają uprawnienia do zastosowania. Tę definicję roli można przypisać użytkownikowi lub grupie za pomocą przypisania roli dla określonego zakresu. Zakres może być pojedynczym zasobem, grupą zasobów lub w ramach subskrypcji. W następnej sekcji dowiesz się, które wbudowane role obsługuje usługa Azure Lab Services.

Aby uzyskać więcej informacji, zobacz Co to jest kontrola dostępu oparta na rolach platformy Azure (Azure RBAC)?

Uwaga

Po wprowadzeniu zmian przypisania roli propagacja tych aktualizacji może potrwać kilka minut.

Wbudowane role

W tym artykule wbudowane role platformy Azure są logicznie pogrupowane w dwa typy ról na podstawie ich zakresu wpływu:

• role Administracja istratora: wpływ na uprawnienia do planów laboratoriów i laboratoriów
• Role zarządzania laboratoriami: wpływ na uprawnienia do laboratoriów

Poniżej przedstawiono wbudowane role obsługiwane przez usługi Azure Lab Services:

Typ roli	Rola wbudowana	opis
Administratorzy	Właściciel	Udziel pełnej kontroli nad tworzeniem i zarządzaniem planami laboratoriów laboratoryjnych oraz udzielanie uprawnień innym użytkownikom. Dowiedz się więcej o roli Właściciel.
Administratorzy	Współautor	Udziel pełnej kontroli nad tworzeniem i zarządzaniem planami laboratoriów laboratoryjnych i laboratoriami, z wyjątkiem przypisywania ról innym użytkownikom. Dowiedz się więcej o roli Współautor.
Administratorzy	Współautor usługi Lab Services	Przyznaj te same uprawnienia co rola właściciel, z wyjątkiem przypisywania ról. Dowiedz się więcej o roli Współautor usługi Lab Services.
Zarządzanie laboratorium	Twórca laboratorium	Udziel uprawnień do tworzenia laboratoriów i masz pełną kontrolę nad utworzonymi laboratoriami. Dowiedz się więcej o roli Twórca laboratorium.
Zarządzanie laboratorium	Współautor laboratorium	Udziel uprawnień, aby ułatwić zarządzanie istniejącym laboratorium, ale nie twórz nowych laboratoriów. Dowiedz się więcej o roli Współautor laboratorium.
Zarządzanie laboratorium	Asystent laboratorium	Przyznaj uprawnienie do wyświetlania istniejącego laboratorium. Można również uruchomić, zatrzymać lub odtworzyć dowolną maszynę wirtualną w laboratorium. Dowiedz się więcej o roli Asystenta laboratorium.
Zarządzanie laboratorium	Czytelnik usługi Lab Services	Udziel uprawnień do wyświetlania istniejących laboratoriów. Dowiedz się więcej o roli Czytelnik usługi Lab Services.

Zakres przypisania roli

W kontroli dostępu opartej na rolach platformy Azure zakres to zestaw zasobów, do których ma zastosowanie dostęp. Podczas przypisywania roli ważne jest, aby zrozumieć zakres, aby przyznać tylko wymagany dostęp.

Na platformie Azure można określić zakres na czterech poziomach: grupa zarządzania, subskrypcja, grupa zasobów i zasób. Zakresy mają strukturę opartą na relacji nadrzędny-podrzędny. Każdy poziom hierarchii sprawia, że zakres jest bardziej szczegółowy. Role można przypisywać na dowolnym z tych poziomów zakresu. Wybrany poziom określa, jak szeroko jest stosowana rola. Niższe poziomy dziedziczą uprawnienia roli z wyższych poziomów. Dowiedz się więcej o zakresie kontroli dostępu opartej na rolach platformy Azure.

W przypadku usług Azure Lab Services należy wziąć pod uwagę następujące zakresy:

Scope	opis
Subskrypcja	Służy do zarządzania rozliczeniami i zabezpieczeniami dla wszystkich zasobów i usług platformy Azure. Zazwyczaj tylko administratorzy mają dostęp na poziomie subskrypcji, ponieważ to przypisanie roli udziela dostępu do wszystkich zasobów w subskrypcji.
Grupa zasobów	Kontener logiczny do grupowania zasobów. Przypisanie roli dla grupy zasobów przyznaje uprawnienie do grupy zasobów i wszystkich zasobów w niej, takich jak laboratoria i plany laboratoriów.
Plan laboratorium	Zasób platformy Azure używany do stosowania typowych ustawień konfiguracji podczas tworzenia laboratorium. Przypisanie roli dla planu laboratorium udziela uprawnień tylko do określonego planu laboratorium.
Laboratorium	Zasób platformy Azure używany do stosowania typowych ustawień konfiguracji do tworzenia i uruchamiania maszyn wirtualnych laboratorium. Przypisanie roli dla laboratorium udziela uprawnień tylko do określonego laboratorium.

Ważne

W usługach Azure Lab Services plany laboratorium i laboratoria są zasobami równorzędnym dla siebie. W związku z tym laboratoria nie dziedziczą żadnych przypisań ról z planu laboratorium. Jednak przypisania ról z grupy zasobów są dziedziczone przez plany laboratorium i laboratoria w tej grupie zasobów.

Role typowych działań laboratoryjnych

W poniższej tabeli przedstawiono typowe działania laboratorium i rolę potrzebną dla użytkownika do wykonania tego działania.

Aktywność	Typ roli	Rola	Zakres
Przyznaj uprawnienie do tworzenia grupy zasobów. Grupa zasobów to logiczny kontener na platformie Azure do przechowywania planów laboratoriów i laboratoriów. Przed utworzeniem planu laboratorium lub laboratorium ta grupa zasobów musi istnieć.	Administratorzy	Właściciel lub współautor	Subskrypcja
Udzielanie uprawnień do przesyłania biletu pomocy technicznej firmy Microsoft, w tym żądania pojemności.	Administratorzy	Właściciel, Współautor, Współautor, Współautor wniosku o pomoc techniczną — współautor	Subskrypcja
Udziel uprawnień do: — Przypisywanie ról innym użytkownikom. — Tworzenie planów laboratoriów, laboratoriów i innych zasobów w grupie zasobów oraz zarządzanie nimi. — Włączanie/wyłączanie witryny Marketplace i obrazów niestandardowych w planie laboratorium. — Dołączanie/odłączanie galerii obliczeniowej w planie laboratorium.	Administratorzy	Właściciel	Grupa zasobów
Udziel uprawnień do: — Tworzenie planów laboratoriów, laboratoriów i innych zasobów w grupie zasobów oraz zarządzanie nimi. — Włączanie lub wyłączanie witryny Azure Marketplace i obrazów niestandardowych w planie laboratorium. Jednak nie możliwość przypisywania ról innym użytkownikom.	Administratorzy	Współautor	Grupa zasobów
Udzielanie uprawnień do tworzenia własnych laboratoriów lub zarządzania nimi dla wszystkich planów laboratoriów w grupie zasobów.	Zarządzanie laboratorium	Twórca laboratorium	Grupa zasobów
Udzielanie uprawnień do tworzenia własnych laboratoriów lub zarządzania nimi dla określonego planu laboratorium.	Zarządzanie laboratorium	Twórca laboratorium	Plan laboratorium
Udzielanie uprawnień do współzarządzania laboratorium, ale nie do tworzenia laboratoriów.	Zarządzanie laboratorium	Współautor laboratorium	Laboratorium
Przyznaj uprawnienie tylko do uruchamiania/zatrzymywania/ponownego obrazu maszyn wirtualnych dla wszystkich laboratoriów w grupie zasobów.	Zarządzanie laboratorium	Asystent laboratorium	Grupa zasobów
Przyznaj uprawnienie tylko do uruchamiania/zatrzymywania/reimage maszyn wirtualnych dla określonego laboratorium.	Zarządzanie laboratorium	Asystent laboratorium	Laboratorium

Ważne

Subskrypcja organizacji służy do zarządzania rozliczeniami i zabezpieczeniami dla wszystkich zasobów i usług platformy Azure. Możesz przypisać rolę Właściciel lub Współautor w subskrypcji. Zazwyczaj tylko administratorzy mają dostęp na poziomie subskrypcji, ponieważ obejmuje to pełny dostęp do wszystkich zasobów w subskrypcji.

Role administratorów

Aby przyznać użytkownikom uprawnienia do zarządzania usługami Azure Lab Services w ramach subskrypcji organizacji, należy przypisać im rolę Właściciel, Współautor lub Współautor usługi Lab Services.

Przypisz te role w grupie zasobów. Laboratorium planuje i laboratoria w grupie zasobów dziedziczą te przypisania ról.

W poniższej tabeli porównaliśmy różne role administratora po przypisaniu ich do grupy zasobów.

Plan laboratorium/Laboratorium	Aktywność	Właściciel	Współautor	Współautor usługi Lab Services
Plan laboratorium	Wyświetlanie wszystkich planów laboratorium w grupie zasobów	Tak	Tak	Tak
Plan laboratorium	Tworzenie, zmienianie lub usuwanie wszystkich planów laboratorium w grupie zasobów	Tak	Tak	Tak
Plan laboratorium	Przypisywanie ról do planów laboratorium w grupie zasobów	Tak	Nie	Nie.
Laboratorium	Tworzenie laboratoriów w grupie zasobów**	Tak	Tak	Tak
Laboratorium	Wyświetlanie laboratoriów innych użytkowników w grupie zasobów	Tak	Tak	Tak
Laboratorium	Zmienianie lub usuwanie laboratoriów innych użytkowników w grupie zasobów	Tak	Tak	Nie.
Laboratorium	Przypisywanie ról do laboratoriów innych użytkowników w grupie zasobów	Tak	Nie	Nie.

** Użytkownicy otrzymują automatycznie uprawnienia do wyświetlania, zmieniania ustawień, usuwania i przypisywania ról dla tworzonych przez nich laboratoriów.

Rola właściciela

Przypisz rolę Właściciel, aby przyznać użytkownikowi pełną kontrolę nad tworzeniem planów laboratoriów i laboratoriami oraz zarządzaniem nimi oraz udzielanie uprawnień innym użytkownikom. Gdy użytkownik ma rolę Właściciel w grupie zasobów, może wykonać następujące działania we wszystkich zasobach w grupie zasobów:

• Przypisz role do administratorów, aby mogli zarządzać zasobami powiązanymi z laboratorium.
• Przypisz role menedżerom laboratoriów, aby mogli tworzyć laboratoria i zarządzać nimi.
• Tworzenie planów laboratoriów i laboratoriów.
• Wyświetlanie, usuwanie i zmienianie ustawień dla wszystkich planów laboratorium, w tym dołączanie lub odłączanie galerii obliczeniowej oraz włączanie lub wyłączanie witryny Azure Marketplace oraz obrazów niestandardowych w planach laboratorium.
• Wyświetlanie, usuwanie i zmienianie ustawień dla wszystkich laboratoriów.

Uwaga

Po przypisaniu roli Właściciel lub Współautor w grupie zasobów te uprawnienia dotyczą również zasobów niezwiązanych z laboratorium, które istnieją w grupie zasobów. Na przykład zasoby, takie jak sieci wirtualne, konta magazynu, galerie obliczeniowe i inne.

Rola współautora

Przypisz rolę Współautor, aby zapewnić użytkownikowi pełną kontrolę nad tworzeniem planów laboratoriów i laboratoriami w grupie zasobów lub zarządzanie nimi. Rola Współautor ma takie same uprawnienia jak rola Właściciel, z wyjątkiem :

• Wykonywanie przypisań ról

Rola Współautor usługi Lab Services

Współautor usługi Lab Services to najbardziej restrykcyjne role administratora. Przypisz rolę Współautor usługi Lab Services, aby włączyć te same działania co rola właściciel, z wyjątkiem :

• Wykonywanie przypisań ról
• Zmienianie lub usuwanie laboratoriów innych użytkowników

Uwaga

Rola Współautor usługi Lab Services nie zezwala na zmiany zasobów, które nie są powiązane z usługami Azure Lab Services. Z drugiej strony rola Współautor umożliwia zmianę wszystkich zasobów platformy Azure w grupie zasobów.

Role zarządzania laboratorium

Użyj następujących ról, aby przyznać użytkownikom uprawnienia do tworzenia laboratoriów i zarządzania nimi:

• Twórca laboratorium
• Współautor laboratorium
• Asystent laboratorium
• Czytelnik usługi Lab Services

Te role zarządzania laboratorium udzielają uprawnień tylko do wyświetlania planów laboratorium. Te role nie zezwalają na tworzenie, zmienianie, usuwanie ani przypisywanie ról do planów laboratorium. Ponadto użytkownicy z tymi rolami nie mogą dołączać ani odłączać galerii obliczeniowej oraz włączać ani wyłączać obrazów maszyn wirtualnych.

Rola twórcy laboratorium

Przypisz rolę Twórca laboratorium, aby przyznać użytkownikowi uprawnienia do tworzenia laboratoriów i mieć pełną kontrolę nad utworzonymi laboratoriami. Mogą na przykład zmienić ustawienia laboratoriów, usunąć laboratoria, a nawet przyznać innym użytkownikom uprawnienia do swoich laboratoriów.

Przypisz rolę Twórca laboratorium dla grupy zasobów lub planu laboratorium.

W poniższej tabeli porównaliśmy przypisanie roli Twórca laboratorium dla grupy zasobów lub planu laboratorium.

Aktywność	Grupa zasobów	Plan laboratorium
Tworzenie laboratoriów w grupie zasobów**	Tak	Tak
Wyświetlanie utworzonych laboratoriów	Tak	Tak
Wyświetlanie laboratoriów innych użytkowników w grupie zasobów	Tak	Nie.
Zmienianie lub usuwanie laboratoriów utworzonych przez użytkownika	Tak	Tak
Zmienianie lub usuwanie laboratoriów innych użytkowników w grupie zasobów	Nie.	Nie.
Przypisywanie ról do laboratoriów innych użytkowników w grupie zasobów	Nie.	Nie.

** Użytkownicy otrzymują automatycznie uprawnienia do wyświetlania, zmieniania ustawień, usuwania i przypisywania ról dla tworzonych przez nich laboratoriów.

Rola Współautor laboratorium

Przypisz rolę Współautor laboratorium, aby udzielić użytkownikowi uprawnień do zarządzania istniejącym laboratorium.

Przypisz rolę Współautor laboratorium w laboratorium.

Po przypisaniu roli Współautor laboratorium w laboratorium użytkownik może zarządzać przypisanym laboratorium. W szczególności użytkownik:

• Może wyświetlać, zmieniać wszystkie ustawienia lub usuwać przypisane laboratorium.
• Użytkownik nie może wyświetlać laboratoriów innych użytkowników.
• Nie można tworzyć nowych laboratoriów.

Rola Asystenta laboratorium

Przypisz rolę Asystenta laboratorium, aby udzielić użytkownikowi uprawnień do wyświetlania laboratorium oraz uruchamiania, zatrzymywania i ponownego tworzenia obrazów maszyn wirtualnych laboratorium dla laboratorium.

Przypisz rolę Asystenta laboratorium w grupie zasobów lub laboratorium.

Po przypisaniu roli Asystenta laboratorium w grupie zasobów użytkownik:

• Może wyświetlać wszystkie laboratoria w grupie zasobów i uruchamiać, zatrzymywać lub odtwarzać maszyny wirtualne laboratorium reimage dla każdego laboratorium.
• Nie można usunąć ani wprowadzić żadnych innych zmian w laboratoriach.

Po przypisaniu roli Asystenta laboratorium w laboratorium użytkownik:

• Może wyświetlać przypisane laboratorium i uruchamiać, zatrzymywać lub odtwarzać maszyny wirtualne laboratorium reimage.
• Nie można usunąć ani wprowadzić żadnych innych zmian w laboratorium.
• Nie można tworzyć nowych laboratoriów.

Jeśli masz rolę Asystenta laboratorium, aby wyświetlić inne laboratoria, do których masz dostęp, upewnij się, że wybierz filtr Wszystkie laboratoria w witrynie internetowej usługi Azure Lab Services.

Rola czytelnika usługi Lab Services

Przypisz rolę Czytelnik usługi Lab Services, aby przyznać użytkownikowi widok uprawnień istniejących laboratoriów. Użytkownik nie może wprowadzać żadnych zmian w istniejących laboratoriach.

Przypisz rolę Czytelnik usługi Lab Services w grupie zasobów lub laboratorium.

Po przypisaniu roli Czytelnik usługi Lab Services w grupie zasobów użytkownik może:

• Wyświetl wszystkie laboratoria w grupie zasobów.

Po przypisaniu roli Czytelnik usługi Lab Services w laboratorium użytkownik może:

• Wyświetlaj tylko określone laboratorium.

Zarządzanie dostępem i tożsamościami (IAM)

Strona Kontrola dostępu (IAM) w witrynie Azure Portal służy do konfigurowania kontroli dostępu opartej na rolach na platformie Azure w zasobach usługi Azure Lab Services. Wbudowane role można używać dla użytkowników indywidualnych i grup w usłudze Active Directory. Poniższy zrzut ekranu przedstawia integrację usługi Active Directory (Azure RBAC) przy użyciu kontroli dostępu (IAM) w witrynie Azure Portal:

Aby uzyskać szczegółowe instrukcje, zobacz Przypisywanie ról platformy Azure przy użyciu witryny Azure Portal.

Struktura planu grupy zasobów i laboratorium

Twoja organizacja powinna zainwestować czas z wyprzedzeniem, aby zaplanować strukturę grup zasobów i planów laboratoryjnych. Jest to szczególnie ważne w przypadku przypisywania ról w grupie zasobów, ponieważ ma również zastosowanie uprawnień do wszystkich zasobów w grupie zasobów.

Aby upewnić się, że użytkownicy mają uprawnienia tylko do odpowiednich zasobów:

• Utwórz grupy zasobów, które zawierają tylko zasoby związane z laboratorium.

• Organizowanie planów laboratoriów i laboratoriów w oddzielne grupy zasobów zgodnie z użytkownikami, którzy powinni mieć dostęp.

Możesz na przykład utworzyć oddzielne grupy zasobów dla różnych działów, aby odizolować zasoby laboratorium poszczególnych działów. Twórcy laboratorium w jednym dziale mogą następnie mieć uprawnienia do grupy zasobów, która udziela im dostępu tylko do zasobów laboratorium swojego działu.

Ważne

Zaplanuj strukturę grupy zasobów i planu laboratorium z góry, ponieważ nie można przenieść planów laboratoriów ani laboratoriów do innej grupy zasobów po ich utworzeniu.

Dostęp do wielu grup zasobów

Możesz udzielić użytkownikom dostępu do wielu grup zasobów. W witrynie internetowej usługi Azure Lab Services użytkownik może wybrać jedną z listy grup zasobów, aby wyświetlić swoje laboratoria.

Dostęp do wielu planów laboratoryjnych

Możesz udzielić użytkownikom dostępu do wielu planów laboratorium. Na przykład w przypadku przypisania roli Twórca laboratorium do użytkownika w grupie zasobów zawierającej więcej niż jeden plan laboratorium. Użytkownik może następnie wybrać z listy planów laboratorium podczas tworzenia nowego laboratorium.

Następne kroki

• Co to jest kontrola dostępu oparta na rolach platformy Azure (Kontrola dostępu oparta na rolach platformy Azure)
• Przenoszenie przypisań ról z kont laboratorium do planów laboratorium
• Omówienie zakresu kontroli dostępu opartej na rolach platformy Azure