Управление доступом для Microsoft Planetary Computer Pro

В этой статье показано, как управлять удостоверениями в Microsoft Entra ID, а также как настроить управление доступом на основе ролей (RBAC) для Microsoft Planetary Computer Pro. Этот процесс позволяет пользователю назначать определенные разрешения доступа к ресурсам GeoCatalog удостоверениям Microsoft Entra.

Предпосылки

Создание пользователей и управление ими

Создайте и управляйте списком пользователей, следуя статье с руководством Microsoft Entra ID по созданию, приглашению и удалению пользователей. После создания пользователей необходимо предоставить им необходимые разрешения для доступа к ресурсу GeoCatalog с назначением одной или нескольких ролей RBAC.

Планетарный компьютер Pro устанавливает две специфические для ресурсов GeoCatalog роли, в дополнение к встроенным ролям Azure.

Роль Описание Разрешает управление RBAC?
Администратор GeoCatalog Позволяет пользователю считывать, записывать и удалять данные внутри GeoCatalog нет
Читалка GeoCatalog Позволяет пользователю считывать только данные GeoCatalogs. нет
владелец Встроенная роль Azure, которая предоставляет полный доступ ко всем ресурсам, включая возможность управления RBAC. Да
Администратор доступа пользователей Встроенная роль Azure, которая позволяет управлять доступом пользователей к ресурсам Azure. Да
Администратор управления доступом на основе ролей Встроенная роль Azure, которая позволяет управлять назначениями и разрешениями RBAC. Да

Замечание

Владелец также является администратором GeoCatalog.

Общие сведения о проверке подлинности и авторизации

Прежде чем удостоверение может быть авторизовано через RBAC, сначала необходимо пройти проверку подлинности в Microsoft Entra ID. Метод проверки подлинности зависит от типа удостоверения, доступного к geoCatalog:

Тип идентификации Метод аутентификации Затем авторизуйтесь с помощью
Пользователь (портал, CLI, обозреватель) Интерактивный вход (az login или браузер OAuth2) Роли RBAC, назначенные в этой статье
Управляемый идентификатор (приложения в Azure) Автоматический токен в инфраструктуре Azure Роли RBAC, назначенные в этой статье
Субъект-служба (приложения вне Azure) Клиентский секрет или сертификат через регистрацию приложения Entra Роли RBAC, назначенные в этой статье

Для всех операций уровня управления и плоскости данных GeoCatalog требуется допустимый маркер носителя OAuth2 с областью user_impersonation . Подробные сведения о настройке для каждого сценария см. в разделе "Настройка проверки подлинности приложения". Дополнительные сведения о концепциях RBAC Azure см. в Azure обзоре управления доступом на основе ролей.

Назначить пользователю управление доступом на основе ролей

Портал Azure можно использовать для назначения ролей RBAC пользователям Planetary Computer Pro. В этом разделе показано, как использовать элементы управления доступом GeoCatalog (IAM) для назначения роли администратора GeoCatalog одному или нескольким пользователям.

  1. На портале Azure перейдите на вкладку Управления доступом к ресурсам GeoCatalog (IAM) в левой боковой панели:

    Снимок экрана панели IAM на портале Azure для настройки RBAC.

  2. Выберите Добавить>Добавить назначение роли.

  3. Выберите "Администратор GeoCatalog" в списке ролей функции задания и нажмите кнопку "Далее " в нижней части страницы:

    Снимок экрана: параметры назначения ролей RBAC на портале Azure.

  4. Выберите радиокнопку пользователя, группы или основного объекта службы:

    Снимок экрана: раздел участников во время назначения ролей RBAC на портале Azure.

  5. Выбор участников

  6. Найдите пользователя на панели "Выбрать участников, которая отображается справа. Выберите имя или удостоверение из списка, чтобы добавить его в список выбранных участников. Повторите этот шаг для каждого пользователя, которому необходимо назначить эту роль.

  7. Когда выбраны все пользователи, для которых нужно назначить эту роль, нажмите кнопку "Выбрать" в нижней части панели, чтобы закрыть панель.

  8. Выберите Далее в нижней части страницы.

  9. Проверьте сведения, а затем выполните задание, выбрав "Проверить и назначить".

Теперь выбранные пользователи могут получить доступ к ресурсу GeoCatalog с помощью портала Azure или API.

Назначение ролей с помощью Azure CLI

Вы также можете назначить роли RBAC с помощью Azure CLI, которая вызывает API плоскости управления ARM (Microsoft.Authorization/roleAssignments).

Назначение роли

# Define variables
SUBSCRIPTION_ID="{your-subscription-id}"
RESOURCE_GROUP="{your-resource-group}"
GEOCATALOG_NAME="{your-geocatalog-name}"
ASSIGNEE_OBJECT_ID="{user-or-service-principal-object-id}"

# GeoCatalog Administrator role definition ID
ROLE_DEFINITION_ID="$(az role definition list --name "GeoCatalog Administrator" --query "[0].id" -o tsv)"

# Assign the role scoped to the GeoCatalog resource
az role assignment create \
  --assignee-object-id "$ASSIGNEE_OBJECT_ID" \
  --role "$ROLE_DEFINITION_ID" \
  --scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME"

Удалить назначение роли

az role assignment delete \
  --assignee "$ASSIGNEE_OBJECT_ID" \
  --role "GeoCatalog Administrator" \
  --scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME"

Вывести список назначений ролей для GeoCatalog

az role assignment list \
  --scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME" \
  --output table

Связанный контент

  • Последнее обновление: