Роли и разрешения в Диспетчере обновлений Azure

Чтобы управлять виртуальной машиной Azure или сервером с поддержкой Azure Arc с помощью Azure Update Manager, необходимо назначить соответствующие роли. Можно использовать предопределенные роли или создавать пользовательские роли с определенными разрешениями.

Роли

Встроенные роли предоставляют общие разрешения на виртуальных машинах, которые включают все разрешения диспетчера обновлений Azure.

Resource	Role
Виртуальная машина Azure	Участник виртуальной машины Azure или владелец Azure
Сервер с поддержкой Azure Arc	Администратор ресурсов Azure Connected Machine

Разрешения

В следующей таблице показаны разрешения, необходимые при использовании Диспетчера обновлений для управления операциями обновления. Вы можете создать пользовательскую роль и назначить только нужные разрешения для этой роли для определенных действий.

Разрешения на чтение для Диспетчера обновлений для просмотра данных Диспетчера обновлений

Действие	Разрешение	Scope
Чтение свойств виртуальной машины Azure	Microsoft.Compute/виртуальныеМашины/чтение
Чтение данных оценки для виртуальных машин Azure	Microsoft.Compute/virtualMachines/patchAssessmentResults/read Microsoft.Compute/virtualMachines/patchAssessmentResults/softwarePatches/read
Чтение данных инсталляции патчей для виртуальных машин Azure	Microsoft.Compute/virtualMachines/patchInstallationResults/read Microsoft.Compute/virtualMachines/patchInstallationResults/softwarePatches/read
Чтение свойств сервера с поддержкой Azure Arc	Microsoft.HybridCompute/machines/read
Чтение данных оценки для серверов, подключенных к Azure Arc	Microsoft.HybridCompute/machines/patchAssessmentResults/read Microsoft.HybridCompute/machines/patchAssessmentResults/softwarePatches/read
Чтение данных об установке исправлений на серверах с поддержкой Azure Arc	Microsoft.HybridCompute/machines/patchInstallationResults/read Microsoft.HybridCompute/machines/patchInstallationResults/softwarePatches/read
Получение состояния асинхронной операции для виртуальной машины Azure	Microsoft.Compute/locations/operations/read	Подписка на компьютер
Чтение статуса операции центра обновлений на машинах с поддержкой Azure Arc	Microsoft.HybridCompute/locations/updateCenterOperationResults/read	Подписка на компьютер

Разрешения на выполнение действий по запросу в Диспетчере обновлений

Следующие разрешения необходимы в дополнение к разрешениям на чтение, описанным ранее на отдельных компьютерах, где выполняются операции по запросу.

Действие	Разрешение	Scope
Активация оценки на виртуальных машинах Azure	** Microsoft.Compute/virtualMachines/assessPatches/action
Установка обновления на виртуальных машинах Azure	Microsoft.Compute/virtualMachines/installPatches/action
Получение состояния асинхронной операции для виртуальной машины Azure	Microsoft.Compute/locations/operations/read	Подписка на компьютер
Активация оценки на сервере с поддержкой Azure Arc	Microsoft.HybridCompute/machines/assessPatches/action
Установка обновления на сервере с поддержкой Azure Arc	Microsoft.HybridCompute/machines/установитьОбновления/действие
Определение состояния операции центра управления обновлениями на устройствах с поддержкой Azure Arc	Microsoft.HybridCompute/locations/updateCenterOperationResults/read	Подписка на компьютер
Обновление режима исправления или режима оценки для виртуальных машин Azure	Microsoft.Compute/virtualMachines/запись	Компьютер
Обновление режима оценки для компьютеров с поддержкой Azure Arc	Microsoft.HybridCompute/machines/write	Компьютер

Разрешения, связанные с запланированным исправлением (конфигурация обслуживания)

Следующие разрешения необходимы в дополнение к разрешениям на отдельных компьютерах, управляемых расписаниями.

Действие	Разрешение	Scope
Регистрация подписки для поставщика ресурсов Microsoft.Maintenance	Microsoft.Maintenance/register/action	Подписка
Создание или изменение конфигурации обслуживания	Функция Microsoft.Maintenance/maintenanceConfigurations/write (запись конфигураций обслуживания)	Подписка / группа ресурсов
Чтение конфигурации технического обслуживания	Microsoft.Maintenance/maintenanceConfigurations/read	Подписка / группа ресурсов
Удалить конфигурацию обслуживания	Microsoft.Мaintenance/конфигурацииОбслуживания/удаление	Подписка / группа ресурсов
Создание или изменение назначений конфигурации	Microsoft.Maintenance/configurationAssignments/write	Подписка, группа ресурсов или компьютер
Чтение назначений конфигурации	Microsoft.Maintenance/configurationAssignments/read	Подписка, группа ресурсов или компьютер
Удаление назначений конфигурации	Microsoft.Maintenance/configurationAssignments/delete	Подписка, группа ресурсов или компьютер
Чтение ресурса обновления обслуживания	Microsoft.Maintenance/updates/read	Компьютер
Прочитайте ресурс для применения обновлений обслуживания	Microsoft.Maintenance/applyUpdates/read	Компьютер
Получение списка развертываний обновлений	Microsoft.Resources/deployments/read	Конфигурация обслуживания и подписка на виртуальную машину
Создание или обновление развертывания обновлений	Microsoft.Resources/deployments/write	Конфигурация обслуживания и подписка на виртуальную машину
Получение списка состояний операций развертывания обновлений	Microsoft.Resources/deployments/operationstatuses	Конфигурация обслуживания и подписка на виртуальную машину
Чтение назначения конфигурации обслуживания для области обслуживания InGuestPatch	Microsoft.Maintenance/configurationAssignments/maintenanceScope/InGuestPatch/read	Подписка, группа ресурсов или компьютер
Создание или изменение назначения конфигурации обслуживания для области обслуживания InGuestPatch	Microsoft.Maintenance/configurationAssignments/maintenanceScope/InGuestPatch/write	Подписка, группа ресурсов или компьютер
Удалите присвоение конфигурации обслуживания для области обслуживания InGuestPatch	Microsoft.Maintenance/configurationAssignments/maintenanceScope/InGuestPatch/delete	Подписка, группа ресурсов или компьютер
Чтение конфигурации обслуживания для области обслуживания InGuestPatch	Microsoft.Maintenance/maintenanceConfigurations/maintenanceScope/InGuestPatch/read	Подписка / группа ресурсов
Создание или изменение конфигурации обслуживания для области обслуживания InGuestPatch	Microsoft.Maintenance/maintenanceConfigurations/maintenanceScope/InGuestPatch/write	Подписка / группа ресурсов
Удалите конфигурацию обслуживания для области обновления InGuestPatch	If no explanation is needed, the original untranslated text should remain: Microsoft.Maintenance/maintenanceConfigurations/maintenanceScope/InGuestPatch/delete	Подписка / группа ресурсов

Связанный контент

• Предварительные требования для Диспетчера обновлений Azure
• Как работает диспетчер обновлений