Zarządzanie dostępem dla firmy Komputer planetarny Microsoft Pro

W tym artykule pokazano, jak zarządzać tożsamościami w usłudze Microsoft Entra ID oraz jak skonfigurować kontrolę dostępu opartą na rolach (RBAC) dla microsoft Planetary Computer Pro. Ten proces umożliwia użytkownikowi przypisanie określonych uprawnień dostępu do zasobów GeoCatalog do tożsamości firmy Microsoft Entra.

Wymagania wstępne

Tworzenie użytkowników i zarządzanie nimi

Utwórz i zarządzaj listą użytkowników, korzystając z artykułu z instrukcjami Microsoft Entra ID dotyczącego tworzenia, zapraszania i usuwania użytkowników. Po utworzeniu użytkowników musisz przyznać im odpowiednie uprawnienia w celu uzyskania dostępu do zasobu GeoCatalog przy użyciu przypisania co najmniej jednej roli RBAC.

Planetary Computer Pro definiuje dwie role specyficzne dla zasobów GeoCatalog, a także wbudowane role platformy Azure:

roli Opis Czy zezwala na zarządzanie kontrolą dostępu opartą na rolach?
Administrator geokatalogu Umożliwia użytkownikowi odczytywanie, zapisywanie i usuwanie danych w usłudze GeoCatalog Nie.
Czytelnik geokatalogu Umożliwia użytkownikowi odczytywanie tylko danych geokatalogów. Nie.
Właściciel Wbudowana rola platformy Azure, która zapewnia pełny dostęp do wszystkich zasobów, w tym możliwość zarządzania RBAC. Tak
Administrator dostępu użytkowników Wbudowana rola platformy Azure, która umożliwia zarządzanie dostępem użytkowników do zasobów platformy Azure. Tak
Administrator kontroli dostępu opartej na rolach Wbudowana rola platformy Azure, która umożliwia zarządzanie przypisaniami i uprawnieniami RBAC. Tak

Uwaga / Notatka

Właściciel jest również administratorem geokatalogu.

Omówienie uwierzytelniania i autoryzacji

Zanim tożsamość będzie mogła zostać autoryzowana przy użyciu kontroli dostępu opartej na rolach (RBAC), musi najpierw zostać uwierzytelniona w usłudze Microsoft Entra ID. Metoda uwierzytelniania zależy od typu tożsamości, która uzyskuje dostęp do serwera GeoCatalog:

Typ tożsamości Metoda uwierzytelniania Następnie uwierzytelnij się za pomocą
Użytkownik (portal, interfejs wiersza polecenia, Eksplorator) Logowanie interakcyjne (az login lub przeglądarka OAuth2) Role RBAC przypisane w tym artykule
Tożsamość zarządzana (aplikacje w Azure) Token automatyczny za pośrednictwem infrastruktury Azure Role RBAC przypisane w tym artykule
Nazwa główna usługi (aplikacje poza platformą Azure) Klucz tajny klienta/certyfikat za pośrednictwem rejestracji aplikacji Entra Role RBAC przypisane w tym artykule

Wszystkie operacje płaszczyzny sterowania i płaszczyzny danych usługi GeoCatalog wymagają ważnego tokenu okaziciela OAuth2 z zakresem user_impersonation. Aby uzyskać szczegółową konfigurację na scenariusz, zobacz Konfigurowanie uwierzytelniania aplikacji. Aby uzyskać więcej informacji na temat pojęć związanych z kontrolą dostępu opartą na rolach na platformie Azure, zobacz omówienie kontroli dostępu opartej na rolach na platformie Azure.

Przypisywanie kontroli dostępu opartej na rolach do użytkownika

Za pomocą witryny Azure Portal można przypisać role RBAC użytkownikom Planetary Computer Pro. W tej sekcji pokazano, jak używać kontrolek Kontroli dostępu geocatalog (IAM) w celu przypisania roli administratora geokatalogu do co najmniej jednego użytkownika.

  1. W witrynie Azure Portal przejdź do karty Kontrola dostępu do zasobów GeoCatalog (IAM) na pasku bocznym po lewej stronie:

    Zrzut ekranu przedstawiający panel IAM w portalu Azure do konfigurowania kontroli dostępu opartej na rolach.

  2. Wybierz Dodaj>Dodaj przypisanie roli.

  3. Wybierz pozycję GeoCatalog Administrator z listy ról funkcji zadania, a następnie wybierz przycisk Dalej w dolnej części strony:

    Zrzut ekranu przedstawiający opcje przypisywania ról RBAC w witrynie Azure Portal.

  4. Wybierz przycisk radiowy Użytkownika, grupy lub jednostki usługi:

    Zrzut ekranu przedstawiający sekcję członków podczas przypisywania roli RBAC w portalu Azure.

  5. Wybierz członków

  6. Wyszukaj użytkownika w okienku Wybieranie członków , które jest wyświetlane po prawej stronie. Wybierz nazwę lub tożsamość z listy, aby dodać ją do listy Wybranych członków. Powtórz ten krok dla każdego z użytkowników, którzy muszą mieć przypisaną tę rolę.

  7. Gdy wybrano wszystkich użytkowników, dla których chcesz przypisać tę rolę, użyj przycisku Wybierz w dolnej części okienka, aby zamknąć okienko.

  8. Wybierz pozycję Dalej w dolnej części strony.

  9. Zweryfikuj informacje, a następnie ukończ przypisanie, wybierając pozycję Przejrzyj i przypisz.

Teraz wybrani użytkownicy mogą uzyskać dostęp do zasobu GeoCatalog za pośrednictwem witryny Azure Portal lub interfejsów API.

Przypisywanie ról przy użyciu Azure CLI

Można również przypisywać role RBAC przy użyciu Azure CLI, który wywołuje interfejs API płaszczyzny sterowania ARM (Microsoft.Authorization/roleAssignments).

Przypisywanie roli

# Define variables
SUBSCRIPTION_ID="{your-subscription-id}"
RESOURCE_GROUP="{your-resource-group}"
GEOCATALOG_NAME="{your-geocatalog-name}"
ASSIGNEE_OBJECT_ID="{user-or-service-principal-object-id}"

# GeoCatalog Administrator role definition ID
ROLE_DEFINITION_ID="$(az role definition list --name "GeoCatalog Administrator" --query "[0].id" -o tsv)"

# Assign the role scoped to the GeoCatalog resource
az role assignment create \
  --assignee-object-id "$ASSIGNEE_OBJECT_ID" \
  --role "$ROLE_DEFINITION_ID" \
  --scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME"

Usuwanie przypisania roli

az role assignment delete \
  --assignee "$ASSIGNEE_OBJECT_ID" \
  --role "GeoCatalog Administrator" \
  --scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME"

Wyświetl listę przypisań ról dla GeoCatalog

az role assignment list \
  --scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME" \
  --output table

Treści powiązane

  • Ostatnia aktualizacja o