Funções do RBAC pré-criadas do Azure Sphere e hierarquia de recursos

Os recursos do Azure são gerenciados em uma hierarquia estruturada e, quando você aplica uma função de usuário RBAC do Azure a um determinado recurso do Azure, as permissões para a função são concedidas para o recurso em si, bem como para seus recursos filho. Por exemplo, se você aplicar a função Proprietário do RBAC a um recurso de produto, o usuário terá permissões do Proprietário para o recurso do produto, bem como todos os seus grupos de dispositivos filho e dispositivos.

A figura mostra a hierarquia dos tipos de recurso do Azure Sphere. Os recursos do Azure Sphere incluem catálogo, produto, grupo de dispositivos e dispositivo, e você pode aplicar uma função RBAC a qualquer um desses recursos. Observe que imagens, certificados de catálogo e implantações do Azure Sphere não são recursos autônomos; A permissão para esses itens é regida pelo recurso que os possui. Por exemplo, as permissões para implantações são governadas pelo grupo de dispositivos proprietário.

Funções RBAC internas do Azure Sphere

Para habilitar o gerenciamento fácil de permissões de usuário do RBAC, o Azure fornece funções pré-configuradas conhecidas como funções internas. Há funções pré-criadas gerais do Azure que se aplicam a todos os serviços, bem como funções internas personalizadas para serviços específicos que atendem às necessidades comuns do usuário do serviço determinado, incluindo o Azure Sphere. Se sua organização tiver necessidades de usuário não atendidas pelas funções internas disponíveis, você poderá criar funções RBAC personalizadas com permissões granulares apropriadas às suas necessidades comerciais.

A tabela abaixo descreve as funções RBAC internas do Azure Sphere.

Nome da função	Permissões	Uso de exemplo
Leitor do Azure Sphere	Permissões somente leitura + baixar imagens + baixar certificado e cadeia de certificados	- Atribua a um catálogo para permitir o acesso somente leitura do usuário a todos os recursos do catálogo e permitir que o usuário baixe o certificado de catálogo e a cadeia de certificados. - Atribua a um produto para permitir o acesso somente leitura do usuário a esse produto e aos seus grupos e dispositivos de dispositivos filho. - Atribuir a um grupo de dispositivos para permitir o acesso somente leitura do usuário a esse grupo de dispositivos e seus dispositivos filho
Publicador do Azure Sphere	Permissões do Sphere Reader + adicionar imagens + baixar o certificado de posse + baixar recursos do dispositivo	- Atribua a um catálogo para permitir que um usuário adicione imagens ao catálogo e baixe o certificado de catálogo, a cadeia de certificados e o certificado de comprovação de posse, ao mesmo tempo em que limita o usuário ao acesso somente leitura para os produtos filho do catálogo, grupos de dispositivos e dispositivos. O acesso somente leitura a um determinado recurso filho pode ser substituído atribuindo a função Colaborador do Azure Sphere, Proprietário do Azure Sphere ou maior função de permissões ao recurso filho - Atribua a um grupo de recursos se o usuário precisar de permissões do Azure Sphere Publisher em todos os catálogos do Azure Sphere no grupo de recursos. - Quando atribuída a produtos, grupos de dispositivos e dispositivos, a função não fornece nada mais do que permissões somente leitura; recomendamos atribuir a função leitor do Azure Sphere
Colaborador do Azure Sphere	Permissões do Publicador do Azure Sphere + permissões para todas as ações de usuário do Azure Sphere no recurso e seus recursos filho	- Aplicar a um grupo de recursos para usuários de altas permissões que precisam criar novos catálogos do Azure Sphere dentro desse grupo de recursos ou integrar locatários existentes do Azure Sphere (Herdado) ao grupo de recursos. – Aplicar a um catálogo específico para usuários que precisam executar todas as ações do usuário e exibir todos os recursos filho pertencentes apenas a esse catálogo. - Aplicar a um produto ou grupo de dispositivos para usuários que precisam executar todas as ações do usuário e exibir todos os recursos filho pertencentes apenas a esse produto ou grupo de dispositivos
Proprietário do Azure Sphere	Permissões do Colaborador do Azure Sphere + permissões de administração de usuário do RBAC do Azure somente para funções de usuário relacionadas ao Azure-Sphere	– Aplicar a um grupo de recursos para obter permissões mais altas usuários do Azure Sphere que precisam criar e gerenciar todos os recursos do Azure Sphere dentro do grupo, bem como atribuir funções de usuário RBAC relacionadas ao Azure-Sphere a todos os recursos do Azure Sphere no grupo. – Aplicar a um catálogo específico para usuários que precisam executar todas as ações do usuário, exibir todos os recursos filho pertencentes apenas a esse catálogo e atribuir funções de usuário RBAC relacionadas ao Azure-Sphere ao catálogo ou a qualquer um de seus recursos filho. – Aplicar a um produto ou grupo de dispositivos para usuários que precisam executar todas as ações do usuário e exibir todos os recursos filho pertencentes apenas a esse produto ou grupo de dispositivos, bem como atribuir funções de usuário RBAC relacionadas ao Azure-Sphere ao grupo de produtos ou dispositivos. Observação: as funções de usuário RBAC relacionadas ao Azure-Sphere são: Proprietário do Azure Sphere, Colaborador do Azure Sphere, Editor do Azure Sphere, Leitor do Azure Sphere, Colaborador de Monitoramento e Leitor de Monitoramento. As duas últimas funções estão relacionadas ao Azure Monitor.