Поделиться через

az role assignment

Управление назначениями ролей.

Команды

Имя Описание Тип Состояние
az role assignment create

Создайте новое назначение роли для пользователя, группы или субъекта-службы.

 Core GA
az role assignment delete

Удаление назначений ролей.

 Core GA
az role assignment list

Вывод списка назначений ролей.

 Core GA
az role assignment list-changelogs

Список журналов изменений для назначений ролей.

 Core GA
az role assignment update

Обновите существующее назначение ролей для пользователя, группы или субъекта-службы.

 Core GA

az role assignment create

Изменить

Создайте новое назначение роли для пользователя, группы или субъекта-службы.

az role assignment create --role
                          --scope
                          [--assignee]
                          [--assignee-object-id]
                          [--assignee-principal-type {ForeignGroup, Group, ServicePrincipal, User}]
                          [--condition]
                          [--condition-version]
                          [--description]
                          [--name]

Примеры

Создайте назначение ролей для предоставления указанной роли читателя на виртуальной машине Azure.

az role assignment create --assignee sp_name --role Reader --scope /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/MyResourceGroup/providers/Microsoft.Compute/virtualMachines/MyVm

Создайте назначение ролей для назначаемого с описанием и условием.

az role assignment create --role Owner --scope /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/MyResourceGroup/providers/Microsoft.Storage/storageAccounts/MyStorageAccount --assignee "John.Doe@Contoso.com" --description "Role assignment foo to check on bar" --condition "@Resource[Microsoft.Storage/storageAccounts/blobServices/containers:Name] stringEquals 'foo'" --condition-version "2.0"

Создайте назначение ролей с собственным именем назначения.

az role assignment create --assignee-object-id 00000000-0000-0000-0000-000000000000 --assignee-principal-type ServicePrincipal --role Reader --scope /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/MyResourceGroup --name 00000000-0000-0000-0000-000000000000

Обязательные параметры

--role

Имя роли или идентификатор.

--scope

Область, к которой применяется назначение или определение роли, например /subscriptions/0b1f6471-1bf0-4dda-aec3-11122223333, /subscriptions/0b1f6471-1bf0-4dda-aec3-111122223333/resourceGroups/myGroup или /subscriptions/0b1f6471-1bf0-4dda-aec3-111122223333/resourceGroups/myGroup/providers/Microsoft.Compute/virtualMachines/myVM.

Необязательные параметры

The following parameters are optional, but depending on the context, one or more might become required for the command to execute successfully.

--assignee

Представляет пользователя, группу или субъект-службу. поддерживаемый формат: идентификатор объекта, имя входа пользователя или имя субъекта-службы.

--assignee-object-id

Идентификатор объекта исполнителя (также известный как идентификатор участника). Используйте этот аргумент вместо '--assignee', чтобы обойти запрос Microsoft Graph в случае, если у вошедшей в систему учетной записи нет разрешения или у компьютера нет доступа к сети для запроса Microsoft Graph.

--assignee-principal-type

Используйте с идентификатором --assignee-object-id, чтобы избежать ошибок, вызванных задержкой распространения в Microsoft Graph.

Свойство Значение
Допустимые значения: ForeignGroup, Group, ServicePrincipal, User
--condition
Предварительный просмотр

Условие, при котором пользователю может быть предоставлено разрешение.

--condition-version
Предварительный просмотр

Версия синтаксиса условия. Если условие указано без --condition-version, по умолчанию — 2.0.

--description
Предварительный просмотр

Описание назначения ролей.

--name -n

GUID для назначения роли. Он должен быть уникальным и разными для каждого назначения роли. Если опущено, создается новый GUID.

Глобальные параметры
--debug

Повышение уровня детализации журнала для включения всех журналов отладки.

Свойство Значение
Default value: False
--help -h

Показать это сообщение справки и выйти.

--only-show-errors

Отображать только ошибки, не показывая предупреждения.

Свойство Значение
Default value: False
--output -o

Output format.

Свойство Значение
Default value: json
Допустимые значения: json, jsonc, none, table, tsv, yaml, yamlc
--query

Строка запроса JMESPath. Дополнительные сведения и примеры см. в разделе http://jmespath.org/.

--subscription

Имя или идентификатор подписки. Подписку по умолчанию можно настроить с помощью az account set -s NAME_OR_ID.

--verbose

Увеличьте уровень детализации ведения журнала. Чтобы включить полные журналы отладки, используйте параметр --debug.

Свойство Значение
Default value: False

az role assignment delete

Изменить

Удаление назначений ролей.

Эта команда удаляет все назначения ролей, удовлетворяющие предоставленному условию запроса. Перед выполнением этой команды настоятельно рекомендуется запустить az role assignment list сначала с теми же аргументами, чтобы узнать, какие назначения ролей будут удалены.

az role assignment delete [--assignee]
                          [--assignee-object-id]
                          [--ids]
                          [--include-inherited]
                          [--resource-group]
                          [--role]
                          [--scope]
                          [--yes]

Примеры

Удалите все назначения ролей с ролью читателя в области подписки.

az role assignment delete --role Reader --scope /subscriptions/00000000-0000-0000-0000-000000000000

Удалите все назначения ролей назначаемого в области подписки.

az role assignment delete --assignee 00000000-0000-0000-0000-000000000000 --scope /subscriptions/00000000-0000-0000-0000-000000000000

Удалите все назначения ролей назначенца (с идентификатором объекта) в области подписки.

az role assignment delete --assignee-object-id 00000000-0000-0000-0000-000000000000 --scope /subscriptions/00000000-0000-0000-0000-000000000000

Необязательные параметры

The following parameters are optional, but depending on the context, one or more might become required for the command to execute successfully.

--assignee

Представляет пользователя, группу или субъект-службу. поддерживаемый формат: идентификатор объекта, имя входа пользователя или имя субъекта-службы.

--assignee-object-id

Идентификатор объекта исполнителя (также известный как идентификатор участника). Используйте этот аргумент вместо '--assignee', чтобы обойти запрос Microsoft Graph в случае, если у вошедшей в систему учетной записи нет разрешения или у компьютера нет доступа к сети для запроса Microsoft Graph.

--ids

Идентификаторы назначения ролей, разделенные пробелами.

--include-inherited

Включите назначения, применяемые к родительским областям.

Свойство Значение
Default value: False
--resource-group -g

Используйте его только в том случае, если роль или назначение было добавлено на уровне группы ресурсов.

--role

Имя роли или идентификатор.

--scope

Область, к которой применяется назначение или определение роли, например /subscriptions/0b1f6471-1bf0-4dda-aec3-11122223333, /subscriptions/0b1f6471-1bf0-4dda-aec3-111122223333/resourceGroups/myGroup или /subscriptions/0b1f6471-1bf0-4dda-aec3-111122223333/resourceGroups/myGroup/providers/Microsoft.Compute/virtualMachines/myVM.

--yes -y

Currently no-op.

Глобальные параметры
--debug

Повышение уровня детализации журнала для включения всех журналов отладки.

Свойство Значение
Default value: False
--help -h

Показать это сообщение справки и выйти.

--only-show-errors

Отображать только ошибки, не показывая предупреждения.

Свойство Значение
Default value: False
--output -o

Output format.

Свойство Значение
Default value: json
Допустимые значения: json, jsonc, none, table, tsv, yaml, yamlc
--query

Строка запроса JMESPath. Дополнительные сведения и примеры см. в разделе http://jmespath.org/.

--subscription

Имя или идентификатор подписки. Подписку по умолчанию можно настроить с помощью az account set -s NAME_OR_ID.

--verbose

Увеличьте уровень детализации ведения журнала. Чтобы включить полные журналы отладки, используйте параметр --debug.

Свойство Значение
Default value: False

az role assignment list

Изменить

Вывод списка назначений ролей.

По умолчанию отображаются только назначения в пределах подписки. Чтобы просмотреть назначения в пределах ресурсов или группы, используйте --all.

az role assignment list [--all]
                        [--assignee]
                        [--assignee-object-id]
                        [--fill-principal-name {false, true}]
                        [--fill-role-definition-name {false, true}]
                        [--include-groups]
                        [--include-inherited]
                        [--resource-group]
                        [--role]
                        [--scope]

Примеры

Перечислите назначения ролей в области подписки.

az role assignment list --scope /subscriptions/00000000-0000-0000-0000-000000000000

Перечислите назначения ролей в области подписки, не заполняя свойство roleDefinitionName.

az role assignment list --scope /subscriptions/00000000-0000-0000-0000-000000000000 --fill-role-definition-name false

Перечислите назначения ролей с ролью "Читатель" в области подписки.

az role assignment list --role Reader --scope /subscriptions/00000000-0000-0000-0000-000000000000

Перечислите назначения ролей исполнителя в области подписки.

az role assignment list --assignee 00000000-0000-0000-0000-000000000000 --scope /subscriptions/00000000-0000-0000-0000-000000000000

Перечислите назначения ролей исполнителя (с идентификатором объекта) в области подписки, не заполняя свойство principalName. Эта команда не запрашивает Microsoft Graph.

az role assignment list --assignee-object-id 00000000-0000-0000-0000-000000000000 --scope /subscriptions/00000000-0000-0000-0000-000000000000 --fill-principal-name false

Необязательные параметры

The following parameters are optional, but depending on the context, one or more might become required for the command to execute successfully.

--all

Отображение всех назначений в текущей подписке.

Свойство Значение
Default value: False
--assignee

Представляет пользователя, группу или субъект-службу. поддерживаемый формат: идентификатор объекта, имя входа пользователя или имя субъекта-службы.

--assignee-object-id

Идентификатор объекта исполнителя (также известный как идентификатор участника). Используйте этот аргумент вместо '--assignee', чтобы обойти запрос Microsoft Graph в случае, если у вошедшей в систему учетной записи нет разрешения или у компьютера нет доступа к сети для запроса Microsoft Graph.

--fill-principal-name

Запросите Microsoft Graph, чтобы получить userPrincipalName исполнителя (для пользователя), servicePrincipalNames (для субъекта-службы) или displayName (для группы), а затем заполните им свойство principalName. Если у вошедшей в систему учетной записи нет разрешений или у компьютера нет доступа к сети для запроса Microsoft Graph, установите для этого флага значение false, чтобы избежать предупреждения или ошибки.

Свойство Значение
Default value: True
Допустимые значения: false, true
--fill-role-definition-name

Заполните свойство roleDefinitionName в дополнение к roleDefinitionId. Эта операция дорогостоящая. Если вы столкнулись с проблемой производительности, установите этот флаг в значение false.

Свойство Значение
Default value: True
Допустимые значения: false, true
--include-groups

Включение дополнительных назначений группам, участником которых является пользователь (транзитивно).

Свойство Значение
Default value: False
--include-inherited

Включите назначения, применяемые к родительским областям.

Свойство Значение
Default value: False
--resource-group -g

Используйте его только в том случае, если роль или назначение было добавлено на уровне группы ресурсов.

--role

Имя роли или идентификатор.

--scope

Область, к которой применяется назначение или определение роли, например /subscriptions/0b1f6471-1bf0-4dda-aec3-11122223333, /subscriptions/0b1f6471-1bf0-4dda-aec3-111122223333/resourceGroups/myGroup или /subscriptions/0b1f6471-1bf0-4dda-aec3-111122223333/resourceGroups/myGroup/providers/Microsoft.Compute/virtualMachines/myVM.

Глобальные параметры
--debug

Повышение уровня детализации журнала для включения всех журналов отладки.

Свойство Значение
Default value: False
--help -h

Показать это сообщение справки и выйти.

--only-show-errors

Отображать только ошибки, не показывая предупреждения.

Свойство Значение
Default value: False
--output -o

Output format.

Свойство Значение
Default value: json
Допустимые значения: json, jsonc, none, table, tsv, yaml, yamlc
--query

Строка запроса JMESPath. Дополнительные сведения и примеры см. в разделе http://jmespath.org/.

--subscription

Имя или идентификатор подписки. Подписку по умолчанию можно настроить с помощью az account set -s NAME_OR_ID.

--verbose

Увеличьте уровень детализации ведения журнала. Чтобы включить полные журналы отладки, используйте параметр --debug.

Свойство Значение
Default value: False

az role assignment list-changelogs

Изменить

Список журналов изменений для назначений ролей.

az role assignment list-changelogs [--end-time]
                                   [--start-time]

Необязательные параметры

The following parameters are optional, but depending on the context, one or more might become required for the command to execute successfully.

--end-time

Время окончания запроса в формате %Y-%m-%dT%H:%M:%SZ, например 2000-12-31T12:59:59Z. По умолчанию используется текущее время.

--start-time

Время начала запроса в формате %Y-%m-%dT%H:%M:%SZ, например 2000-12-31T12:59:59Z. Значение по умолчанию — 1 час до текущего времени.

Глобальные параметры
--debug

Повышение уровня детализации журнала для включения всех журналов отладки.

Свойство Значение
Default value: False
--help -h

Показать это сообщение справки и выйти.

--only-show-errors

Отображать только ошибки, не показывая предупреждения.

Свойство Значение
Default value: False
--output -o

Output format.

Свойство Значение
Default value: json
Допустимые значения: json, jsonc, none, table, tsv, yaml, yamlc
--query

Строка запроса JMESPath. Дополнительные сведения и примеры см. в разделе http://jmespath.org/.

--subscription

Имя или идентификатор подписки. Подписку по умолчанию можно настроить с помощью az account set -s NAME_OR_ID.

--verbose

Увеличьте уровень детализации ведения журнала. Чтобы включить полные журналы отладки, используйте параметр --debug.

Свойство Значение
Default value: False

az role assignment update

Изменить

Обновите существующее назначение ролей для пользователя, группы или субъекта-службы.

az role assignment update --role-assignment

Примеры

Обновите назначение ролей из JSON-файла.

az role assignment update --role-assignment assignment.json

Обновите назначение ролей из строки JSON. (Bash)

az role assignment update --role-assignment '{
    "canDelegate": null,
    "condition": "@Resource[Microsoft.Storage/storageAccounts/blobServices/containers:Name] stringEquals '"'"'foo'"'"'",
    "conditionVersion": "2.0",
    "description": "Role assignment foo to check on bar",
    "id": "/subscriptions/00000001-0000-0000-0000-000000000000/resourceGroups/rg1/providers/Microsoft.Authorization/roleAssignments/3eabdd43-375b-4dbd-8dc4-04acd15ce56b",
    "name": "3eabdd43-375b-4dbd-8dc4-04acd15ce56b",
    "principalId": "00000002-0000-0000-0000-000000000000",
    "principalType": "User",
    "resourceGroup": "rg1",
    "roleDefinitionId": "/subscriptions/00000001-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleDefinitions/acdd72a7-3385-48ef-bd42-f606fba81ae7",
    "scope": "/subscriptions/00000001-0000-0000-0000-000000000000/resourceGroups/rg1",
    "type": "Microsoft.Authorization/roleAssignments"
}'

Обязательные параметры

--role-assignment

Описание существующего назначения роли в формате JSON или путь к файлу, содержащему описание JSON.

Глобальные параметры
--debug

Повышение уровня детализации журнала для включения всех журналов отладки.

Свойство Значение
Default value: False
--help -h

Показать это сообщение справки и выйти.

--only-show-errors

Отображать только ошибки, не показывая предупреждения.

Свойство Значение
Default value: False
--output -o

Output format.

Свойство Значение
Default value: json
Допустимые значения: json, jsonc, none, table, tsv, yaml, yamlc
--query

Строка запроса JMESPath. Дополнительные сведения и примеры см. в разделе http://jmespath.org/.

--subscription

Имя или идентификатор подписки. Подписку по умолчанию можно настроить с помощью az account set -s NAME_OR_ID.

--verbose

Увеличьте уровень детализации ведения журнала. Чтобы включить полные журналы отладки, используйте параметр --debug.

Свойство Значение
Default value: False