Gerenciar o acesso para o Computador Planetário Pro da Microsoft

Este artigo mostra como gerenciar identidades na ID do Microsoft Entra e como configurar o RBAC (controle de acesso baseado em função) para o Computador Planetário Pro da Microsoft. Esse processo permite que o usuário atribua permissões específicas de acesso de recursos do GeoCatalog às identidades do Microsoft Entra.

Pré-requisitos

Criar e gerenciar usuários

Crie e gerencie sua lista de usuários seguindo o artigo de instruções criar, convidar e excluir usuários do Microsoft Entra ID. Depois que os usuários forem criados, você precisará conceder permissões adequadas a eles para acessar um recurso geocatalog com a atribuição de uma ou mais funções RBAC.

O Planetry Computer Pro define duas funções específicas do recurso GeoCatalog, além das funções internas do Azure:

Função Descrição Permite o gerenciamento de RBAC?
Administrador do GeoCatalog Permite que o usuário leia, escreva e exclua dados dentro de um GeoCatalog Não
Leitor de GeoCatalog Permite que o usuário leia apenas os dados do GeoCatalogs. Não
Proprietário Função interna do Azure que concede acesso total a todos os recursos, incluindo a capacidade de gerenciar o RBAC. Sim
Administrador de Acesso do Usuário Função interna do Azure que permite o gerenciamento do acesso do usuário aos recursos do Azure. Sim
Administrador de controle de acesso baseado em função Função interna do Azure que permite o gerenciamento de atribuições e permissões RBAC. Sim

Observação

O proprietário também é um Administrador do GeoCatalog.

Visão geral de autenticação e autorização

Antes de uma identidade poder ser autorizada via RBAC, ela deve primeiro se autenticar no Microsoft Entra ID. O método de autenticação depende do tipo de identidade que acessa o GeoCatalog:

Tipo de identidade Método de autenticação Em seguida, autorize com
Usuário (portal, CLI, Explorer) Entrada interativa (az login ou navegador OAuth2) Funções RBAC atribuídas neste artigo
Identidade gerenciada (aplicativos no Azure) Token automático por meio da infraestrutura de Azure Funções RBAC atribuídas neste artigo
Entidade de serviço (aplicativos fora do Azure) Segredo/certificado do cliente por meio do registro do aplicativo Entra Funções RBAC atribuídas neste artigo

Todas as operações do plano de controle do GeoCatalog e do plano de dados exigem um token OAuth2 válido de portador com o escopo user_impersonation. Para obter uma configuração detalhada por cenário, consulte Configurar autenticação de aplicativo. Para obter mais informações sobre os conceitos de RBAC do Azure, consulte visão geral do controle de acesso baseado em função do Azure.

Atribuir controle de acesso baseado em função a um usuário

Você pode usar o portal do Azure para atribuir funções RBAC a usuários do Planetry Computer Pro. Esta seção demonstra como usar os controles do Controle de Acesso do GeoCatalog (IAM) para atribuir a função de Administrador do GeoCatalog a um ou mais usuários.

  1. No portal do Azure, vá para a guia Controle de Acesso (IAM) do recurso GeoCatalog na barra lateral esquerda:

    Captura de tela da folha IAM no portal do Azure para configurar o RBAC.

  2. Selecione Adicionar>Adicionar Atribuição de Função.

  3. Selecione Administrador do GeoCatalog na lista de funções de trabalho e, em seguida, selecione o botão Avançar na parte inferior da página:

    Captura de tela mostrando as opções de atribuição de função RBAC no portal do Azure.

  4. Selecione o botão de opção de usuário, grupo ou entidade de serviço:

    Captura de tela mostrando a seção membros durante a atribuição de função RBAC no portal do Azure.

  5. Selecione Selecionar membros

  6. Pesquise o usuário no painel Selecionar membros que aparece no lado direito. Selecione um nome ou identidade na lista para adicioná-lo à lista de Membros Selecionados. Repita esta etapa para cada um dos usuários que precisam receber essa função.

  7. Quando todos os usuários para os quais você precisa atribuir essa função estiverem selecionados, use o botão Selecionar na parte inferior do painel para fechar o painel.

  8. Selecione Próximo na parte inferior da página.

  9. Verifique as informações e conclua a atribuição selecionando revisão + atribuição.

Agora, os usuários selecionados podem acessar o recurso GeoCatalog por meio do portal do Azure ou das APIs.

Atribuir funções usando o CLI do Azure

Você também pode atribuir funções de RBAC usando a CLI do Azure, que chama a API do plano de controle ARM (Microsoft.Authorization/roleAssignments).

Atribuir uma função

# Define variables
SUBSCRIPTION_ID="{your-subscription-id}"
RESOURCE_GROUP="{your-resource-group}"
GEOCATALOG_NAME="{your-geocatalog-name}"
ASSIGNEE_OBJECT_ID="{user-or-service-principal-object-id}"

# GeoCatalog Administrator role definition ID
ROLE_DEFINITION_ID="$(az role definition list --name "GeoCatalog Administrator" --query "[0].id" -o tsv)"

# Assign the role scoped to the GeoCatalog resource
az role assignment create \
  --assignee-object-id "$ASSIGNEE_OBJECT_ID" \
  --role "$ROLE_DEFINITION_ID" \
  --scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME"

Excluir uma atribuição de função

az role assignment delete \
  --assignee "$ASSIGNEE_OBJECT_ID" \
  --role "GeoCatalog Administrator" \
  --scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME"

Listar atribuições de função para um GeoCatalog

az role assignment list \
  --scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME" \
  --output table

Conteúdo relacionado

  • Última atualização em