Встроенные роли RBAC для операций Интернета вещей

Операции Интернета вещей Azure (AIO) предлагают две встроенные роли, предназначенные для упрощения и безопасного управления доступом для ресурсов AIO: администратор операций Интернета вещей Azure и подключение операций Интернета вещей Azure. Если в вашем сценарии требуется более детализированный доступ, можно создать пользовательскую роль RBAC.

Это важно

Встроенные роли для AIO упрощают управление доступом для ресурсов AIO, но не предоставляют разрешения для всех необходимых зависимостей Azure. AIO использует несколько служб Azure, таких как Azure Key Vault, служба хранилища Azure, Azure Arc и другие. Всегда просматривайте и назначьте необходимые дополнительные роли, чтобы пользователи имели комплексный доступ к успешному развертыванию и работе AIO.

Роль администратора операций Интернета вещей Azure

Роль администратора операций Интернета вещей Azure предоставляет комплексные разрешения для управления всеми компонентами Операций Интернета вещей Azure и управления ими. Назначьте эту роль пользователям, которым нужен полный доступ к ресурсам AIO. Для поддержки развертывания и непрерывного управления AIO пользователям требуются дополнительные разрешения. Если пользователю нужно использовать AIO, можно назначить роль администратора только один.

При назначении этой встроенной роли необходимо убедиться, что следующие роли также назначены пользователю:

• Роль администратора Центра оборудования Azure Edge. Эта роль предоставляет доступ к управлению и принятию действий в качестве администратора заказа на пограничные серверы. Он используется для упорядочивания устройств Azure Stack Edge и управления ими.
• Роль пользователя кластера Kubernetes с поддержкой Azure Arc: Эта роль используется для управления кластерами Kubernetes с поддержкой Azure Arc, предоставляя разрешение на запись развертываний, управление подписками и обработку подключенных кластеров и расширений.
• Роль администратора Key Vault: Эта роль позволяет пользователю управлять всеми аспектами Azure Key Vault, включая создание, обслуживание, просмотр и удаление ключей, сертификатов и секретов.
• Роль участника расширения Kubernetes: Эта роль позволяет пользователям управлять расширениями Kubernetes, включая создание, обновление и удаление расширений.
• Роль участника управляемого удостоверения: Эта роль позволяет пользователю управлять управляемыми удостоверениями, включая создание, обновление и удаление управляемых удостоверений, назначенных пользователем.
• Роль участника мониторинга: Эта роль позволяет пользователю считывать все данные мониторинга и обновлять параметры мониторинга.
• Роль участника группы ресурсов. Эта роль предоставляет разрешения на управление ресурсами в группе ресурсов, включая создание, обновление и удаление ресурсов.
• Роль владельца расширения хранилища секретов. Эта роль позволяет пользователю управлять расширением Хранилища секретов, которое синхронизирует секреты из Azure Key Vault с кластерами Kubernetes.
• Роль участника учетной записи хранения: Эта роль позволяет пользователю управлять учетными записями хранения, включая создание, обновление и удаление учетных записей хранения, а также управление ключами доступа и другими параметрами.

Роль подключения операций Интернета вещей Azure

Подключение AIO — это специализированная роль, которая предоставляет необходимые разрешения для развертывания компонентов Операций Интернета вещей Azure.

При назначении этой встроенной роли необходимо убедиться, что следующие роли также назначены пользователю:

• Роль развертывания Моста ресурсов Azure: Эта роль используется для управления развертыванием моста ресурсов Azure. Она включает в себя разрешения на чтение, запись и удаление различных ресурсов, связанных с мостом ресурсов, таких как устройства, расположения и конфигурации телеметрии.
• Кластер Kubernetes — роль подключения Azure Arc: Эта роль используется для подключения кластеров Kubernetes к Azure Arc.
• Роль участника учетной записи хранения: Эта роль позволяет пользователю управлять учетными записями хранения, включая создание, обновление и удаление учетных записей хранения, а также управление ключами доступа и другими параметрами.
• Роль участника группы ресурсов. Эта роль предоставляет разрешения на управление ресурсами в группе ресурсов, включая создание, обновление и удаление ресурсов.
• Роль пользователя кластера Kubernetes с поддержкой Azure Arc: Эта роль используется для управления кластерами Kubernetes с поддержкой Azure Arc, предоставляя разрешение на запись развертываний, управление подписками и обработку подключенных кластеров и расширений.