Примечание.
Для доступа к этой странице требуется авторизация. Вы можете попробовать войти или изменить каталоги.
Для доступа к этой странице требуется авторизация. Вы можете попробовать изменить каталоги.
Управление доступом на основе ролей в Azure (Azure RBAC) позволяет назначать членам вашей организации права на выполнение только конкретных действий, которые необходимы им для выполнения рабочих обязанностей.
Для использования возможностей Azure Network Watcher учетная запись, с которой вы входите в Azure, должна быть назначена встроенным ролям владельца, участника или вкладчика сети, либо на пользовательскую роль, включающую действия, указанные для возможностей Наблюдатель за сетями, которую вы хотите использовать.
Important
Участник сети не включает следующие действия:
- Действия Microsoft.Storage/*, перечисленные в разделе "Дополнительные действия " или "Журналы потоков".
- Действия Microsoft.Compute/*, перечисленные в разделе "Дополнительные действия ".
- Действия Microsoft.OperationalInsights/workspaces/*, Microsoft.Insights/dataCollectionRules/* или Microsoft.Insights/dataCollectionEndpoints/*, перечисленные в разделе Аналитика трафика.
Сведения о том, как проверить роли, назначенные пользователю для подписки, см. в разделе Список назначений ролей Azure с использованием портала Azure. Если вы не видите назначения ролей, обратитесь к соответствующему администратору подписки.
В следующих разделах перечислены минимальные необходимые разрешения для использования наблюдателя за сетями и его возможностей. Для полного списка связанных разрешений Azure см. разрешения Microsoft.Network, разрешения Microsoft.Compute, разрешения Microsoft.Storage, разрешения Microsoft.Insights, и разрешения Microsoft.OperationalInsights.
Наблюдатель за сетями
| Action | Description |
|---|---|
| Microsoft.Network/наблюдатели сети/чтение | Получить наблюдателя сети |
| Microsoft.Network/networkWatchers/запись | Создание или обновление Наблюдателя за сетями |
| Microsoft.Network/наблюдателиСети/удалить | Удалите наблюдателя за сетями |
Монитор подключения
| Action | Description |
|---|---|
| Microsoft.Сеть/наблюдателиСети/мониторыСоединений/старт/действие | Запуск монитора подключения |
| Microsoft.Network/networkWatchers/connectionMonitors/stop/действие | Остановить монитор подключения |
| Microsoft.Network/наблюдателиСети/мониторыСоединений/запрос/действие | Запрос состояния монитора соединения |
| Microsoft.Network/наблюдателиСети/мониторыСоединений/чтение | Установите монитор подключения |
| Мониторинг соединений в Microsoft.Network/networkWatchers/connectionMonitors/write | Создание монитора подключения |
| Microsoft.Network/networkWatchers/connectionMonitors/delete (удалить наблюдателей сети/мониторов соединений) | Удаление монитора подключения |
Журналы потоков
| Action | Description |
|---|---|
| Microsoft.Network/networkWatchers/flowLogs/read | Получение сведений о журнале потоков |
| Microsoft.Network/networkWatchers/flowLogs/write | Создание журнала потока |
| Microsoft.Network/networkWatchers/flowLogs/delete | Удаление журнала потока |
| Microsoft.Network/networkWatchers/configureFlowLog/action | Настройте журнал потока |
| Microsoft.Network/networkWatchers/queryFlowLogStatus/action | Запросить статус для лога потока |
| Microsoft.Network/networkSecurityGroups/write 1 | Создание или обновление группы сетевой безопасности |
| Microsoft. Storage/storageAccounts/listServiceSas/Action, Microsoft. Storage/storageAccounts/listAccountSas/Action, Microsoft.Storage/storageAccounts/просмотретьКлючи/Действие |
Получите общие подписи доступа (SAS), обеспечивающие безопасный доступ к аккаунту хранения и запись в аккаунт хранения |
1 Только требуется для журналов потоков NSG.
Аналитика трафика
Поскольку включение аналитики трафика входит в ресурс журнала потоков, вам потребуются следующие разрешения в дополнение ко всем разрешениям, необходимым для журналов потоков:
| Action | Description |
|---|---|
| Microsoft.Network/applicationGateways/read | Получите шлюз приложений |
| Microsoft.Network/connections/read | Получение подключения к шлюзу виртуальной сети. |
| Microsoft.Network/expressRouteCircuits/read | Получите канал ExpressRoute. |
| Microsoft.Network/loadBalancers/read | Получение определения балансировщика нагрузки |
| Microsoft.Network/localNetworkGateways/read | Получение локального сетевого шлюза (LocalNetworkGateway) |
| Microsoft.Network/networkInterfaces/read | Получение определения сетевого интерфейса |
| Microsoft.Network/networkSecurityGroups/read (разрешение) | Получение определения группы безопасности сети |
| Microsoft.Network/publicIPAddresses/read | Получение определения общедоступного IP-адреса |
| Microsoft.Network/routeTables/read | Получение определения таблицы маршрутов |
| Microsoft.Network/virtualNetworkGateways/читать | Получение шлюза виртуальной сети |
| Microsoft.Network/virtualNetworks/read | Получение определения виртуальной сети |
| Microsoft.Compute/виртуальныеМашины/чтение | Получение свойств виртуальной машины |
| Microsoft.Compute/virtualMachineScaleSets/read | Получение свойств масштабируемого набора виртуальных машин. |
| Microsoft.OperationalInsights/workspaces/read | Получить существующее рабочее пространство |
| Microsoft.OperationalInsights/workspaces/sharedkeys/action | Получение общих ключей для рабочей области |
| Microsoft. Insights/dataCollectionRules/read 1 | Прочитать правило сбора данных |
| Microsoft. Insights/dataCollectionRules/write 1 | Создание или изменение правила сбора данных |
| Microsoft.Insights/dataCollectionRules/удалить 1 | Удаление правила сбора данных |
| Microsoft. Insights/dataCollectionEndpoints/read 1 | Прочитать конечную точку сбора данных |
| Microsoft. Insights/dataCollectionEndpoints/write 1 | Создание или обновление конечной точки сбора данных |
| Microsoft.Insights/dataCollectionEndpoints/удалить 1 | Удаление конечной точки сбора данных |
1 Обязательный для подписки рабочей области Log Analytics при использовании аналитики трафика с журналами потоков виртуальной сети.
Caution
Аналитика трафика создает и управляет ресурсами правил сбора данных (DCR) и конечными точками сбора данных (DCE) в той же группе ресурсов, что и рабочая область Log Analytics, с префиксом NWTA. Если вы выполняете любую операцию с этими ресурсами, аналитика трафика может не функционировать должным образом.
Important
Унаследованные права управления в настоящее время не поддерживаются для активации аналитики трафика.
Устранение неполадок подключения
| Action | Description |
|---|---|
| Microsoft.Network/networkWatchers/connectivityCheck/action, Microsoft.Network/networkWatchers/проверкаПодключения/чтение |
Проверка возможности установления прямого TCP-подключения из виртуальной машины к заданной конечной точке |
| Microsoft.Network/networkWatchers/запросДиагностикаРезультат/действие | Запрос результатов теста устранения неполадок подключения |
| Microsoft.Network/networkWatchers/устранение_неполадок/действие | Выполнение теста на устранение неполадок подключения |
| Microsoft.Network/networkWatchers/networkConfigurationDiagnostic/read (чтение конфигурации сети) | Читайте результаты диагностики конфигурации сети и диагностическую информацию для сетевых ресурсов Azure. |
Запись пакетов
| Action | Description |
|---|---|
| Microsoft.Network/наблюдатели сети/захваты пакетов/запрос статуса/действие | Запрос состояния записи пакета |
| Microsoft.Network/networkWatchers/packetCaptures/stop/action | Остановка сеанса записи пакетов |
| Microsoft.Network/networkWatchers/packetCaptures/read | Получение определения записи пакетов |
| Microsoft.Network/networkWatchers/packetCaptures/запись | Создайте снимок пакетов |
| Microsoft.Network/networkWatchers/packetCaptures/delete | Удалить перехват пакетов |
| Microsoft.Network/networkWatchers/packetCaptures/queryStatus/read (запрос статуса захвата пакетов) | Просмотр состояния записи пакетов |
Проверка IP-потока
| Action | Description |
|---|---|
| Microsoft.Network/networkWatchers/ipFlowVerify/action, Microsoft.Network/networkWatchers/ipFlowVerify/read (Проверка потока IP) |
Возвращает, разрешено ли пакету пройти до или от определенного назначения. |
Следующий прыжок
| Action | Description |
|---|---|
| Microsoft.Network/сетевыеНаблюдатели/nextHop/action, Microsoft.Network/networkWatchers/nextHop/read |
Для указанных целевого объекта и IP-адреса назначения возвращает тип следующего перехода и IP-адрес следующего перехода |
| Microsoft.Compute/виртуальныеМашины/чтение | Получение свойств виртуальной машины |
| Microsoft.Network/networkInterfaces/read | Получение определения сетевого интерфейса |
Просмотр группы безопасности сети
| Action | Description |
|---|---|
| Microsoft.Network/networkWatchers/ОбзорГруппыБезопасности/действие | Просмотр настроенных и эффективных правил группы безопасности сети, применяемых на виртуальной машине |
Topology
| Action | Description |
|---|---|
| Microsoft.Network/networkWatchers/topology/action, Microsoft.Network/networkWatchers/топология/чтение |
Получение представления на уровне сети ресурсов и их связей в группе ресурсов |
Отчет о возможности доступа
| Action | Description |
|---|---|
| Microsoft.Network/networkWatchers/azureReachabilityReport/action | Получите относительный показатель задержки для интернет-провайдеров из указанного места в регионы Azure. |
Дополнительные действия
Для некоторых возможностей наблюдателя за сетями требуются следующие действия:
| Action | Description |
|---|---|
| Microsoft.Authorization/*/Чтение | Получение назначений ролей Azure и определений политик |
| Microsoft.Resources/subscriptions/resourceGroups/Read; | Перечисление всех групп ресурсов в подписке |
| Microsoft.Storage/storageAccounts/Чтение | Получение свойств для указанной учетной записи хранения |
| Microsoft. Storage/storageAccounts/listServiceSas/Action, Microsoft. Storage/storageAccounts/listAccountSas/Action, Microsoft.Storage/storageAccounts/просмотретьКлючи/Действие |
Получение подписей общего доступа (SAS) обеспечивает безопасный доступ к учетной записи хранения и запись в нее. |
| Microsoft. Вычисления/виртуальные машины/чтение, Microsoft. Вычисления/виртуальные машины/Запись |
Войдите в виртуальную машину, сделайте захват пакетов и загрузите его в аккаунт хранения |
| Microsoft. Вычисления/виртуальные машины/расширения/чтение, Microsoft. Вычисления/виртуальные машины/расширения/запись |
Проверьте, присутствует ли расширение Наблюдатель за сетями и установите при необходимости |
| Microsoft. Compute/virtualMachineScaleSets/Read, Microsoft.Compute/virtualMachineScaleSets/Write |
Получите доступ к наборам масштабируемых виртуальных машин, выполняйте захват пакетов и загружайте их в аккаунт хранения |
| Microsoft. Вычисление/virtualMachineScaleSets/расширения/чтение, Microsoft. Вычисления/virtualMachineScaleSets/расширения/Запись |
Проверьте, присутствует ли расширение Наблюдатель за сетями и установите при необходимости |
| Microsoft.Insights/alertRules/* | Настройка оповещений о метриках |
| Microsoft.Support/* | Создание и обновление запросов в службу поддержки из Наблюдатель за сетями. |