Inbyggda Azure-roller för säkerhet

Artikel
09/20/2024

I den här artikeln visas de inbyggda Azure-rollerna i kategorin Säkerhet.

Administratör för appefterlevnadsautomatisering

Skapa, läsa, ladda ned, ändra och ta bort rapportobjekt och relaterade andra resursobjekt.

Åtgärder	beskrivning
Microsoft.AppComplianceAutomation/*
Microsoft.Storage/storageAccounts/blobServices/write	Returnerar resultatet av egenskaperna för put blob-tjänsten
Microsoft.Storage/storageAccounts/fileservices/write	Placera filtjänstegenskaper
Microsoft.Storage/storageAccounts/listKeys/action	Returnerar åtkomstnycklarna för det angivna lagringskontot.
Microsoft.Storage/storageAccounts/write	Skapar ett lagringskonto med de angivna parametrarna eller uppdaterar egenskaperna eller taggarna eller lägger till en anpassad domän för det angivna lagringskontot.
Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey/action	Returnerar en användardelegeringsnyckel för blobtjänsten
Microsoft.Storage/storageAccounts/read	Returnerar listan över lagringskonton eller hämtar egenskaperna för det angivna lagringskontot.
Microsoft.Storage/storageAccounts/blobServices/containers/read	Returnerar lista över containrar
Microsoft.Storage/storageAccounts/blobServices/containers/write	Returnerar resultatet av placera blobcontainer
Microsoft.Storage/storageAccounts/blobServices/read	Returnerar blobtjänstegenskaper eller statistik
Microsoft.PolicyInsights/policyStates/queryResults/action	Fråga efter information om principtillstånd.
Microsoft.PolicyInsights/policyStates/triggerEvaluation/action	Utlöser en ny efterlevnadsutvärdering för det valda omfånget.
Microsoft.Resources/resources/read	Hämta listan över resurser baserat på filter.
Microsoft.Resources/subscriptions/read	Hämtar listan över prenumerationer.
Microsoft.Resources/subscriptions/resourceGroups/read	Hämtar eller listar resursgrupper.
Microsoft.Resources/subscriptions/resourceGroups/resources/read	Hämtar resurserna för resursgruppen.
Microsoft.Resources/subscriptions/resources/read	Hämtar resurser för en prenumeration.
Microsoft.Resources/subscriptions/resourceGroups/delete	Tar bort en resursgrupp och alla dess resurser.
Microsoft.Resources/subscriptions/resourceGroups/write	Skapar eller uppdaterar en resursgrupp.
Microsoft.Resources/tags/read	Hämtar alla taggar på en resurs.
Microsoft.Resources/deployments/validate/action	Verifierar en distribution.
Microsoft.Security/automations/read	Hämtar automatiseringarna för omfånget
Microsoft.Resources/deployments/write	Skapar eller uppdaterar en distribution.
Microsoft.Security/automations/delete	Tar bort automatiseringen för omfånget
Microsoft.Security/automations/write	Skapar eller uppdaterar automatiseringen för omfånget
Microsoft.Security/register/action	Registrerar prenumerationen för Azure Security Center
Microsoft.Security/unregister/action	Avregistrerar prenumerationen från Azure Security Center
*/read	Läsa resurser av alla typer, förutom hemligheter.
NotActions
ingen
DataActions
ingen
NotDataActions
ingen

{
  "assignableScopes": [
    "/"
  ],
  "description": "Create, read, download, modify and delete reports objects and related other resource objects.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/0f37683f-2463-46b6-9ce7-9b788b988ba2",
  "name": "0f37683f-2463-46b6-9ce7-9b788b988ba2",
  "permissions": [
    {
      "actions": [
        "Microsoft.AppComplianceAutomation/*",
        "Microsoft.Storage/storageAccounts/blobServices/write",
        "Microsoft.Storage/storageAccounts/fileservices/write",
        "Microsoft.Storage/storageAccounts/listKeys/action",
        "Microsoft.Storage/storageAccounts/write",
        "Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey/action",
        "Microsoft.Storage/storageAccounts/read",
        "Microsoft.Storage/storageAccounts/blobServices/containers/read",
        "Microsoft.Storage/storageAccounts/blobServices/containers/write",
        "Microsoft.Storage/storageAccounts/blobServices/read",
        "Microsoft.PolicyInsights/policyStates/queryResults/action",
        "Microsoft.PolicyInsights/policyStates/triggerEvaluation/action",
        "Microsoft.Resources/resources/read",
        "Microsoft.Resources/subscriptions/read",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Resources/subscriptions/resourceGroups/resources/read",
        "Microsoft.Resources/subscriptions/resources/read",
        "Microsoft.Resources/subscriptions/resourceGroups/delete",
        "Microsoft.Resources/subscriptions/resourceGroups/write",
        "Microsoft.Resources/tags/read",
        "Microsoft.Resources/deployments/validate/action",
        "Microsoft.Security/automations/read",
        "Microsoft.Resources/deployments/write",
        "Microsoft.Security/automations/delete",
        "Microsoft.Security/automations/write",
        "Microsoft.Security/register/action",
        "Microsoft.Security/unregister/action",
        "*/read"
      ],
      "notActions": [],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "App Compliance Automation Administrator",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Automation-läsare för appefterlevnad

Läs, ladda ned rapportobjekten och relaterade andra resursobjekt.

Läs mer

Åtgärder	Beskrivning
*/read	Läsa resurser av alla typer, förutom hemligheter.
NotActions
ingen
DataActions
ingen
NotDataActions
ingen

{
  "assignableScopes": [
    "/"
  ],
  "description": "Read, download the reports objects and related other resource objects.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/ffc6bbe0-e443-4c3b-bf54-26581bb2f78e",
  "name": "ffc6bbe0-e443-4c3b-bf54-26581bb2f78e",
  "permissions": [
    {
      "actions": [
        "*/read"
      ],
      "notActions": [],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "App Compliance Automation Reader",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Attesteringsdeltagare

Kan läsa skriva eller ta bort attesteringsproviderinstansen

Läs mer

Åtgärder	beskrivning
Microsoft.Attestation/attestationProviders/attestation/read	Hämtar status för attesteringstjänsten.
Microsoft.Attestation/attestationProviders/attestation/write	Lägger till attesteringstjänsten.
Microsoft.Attestation/attestationProviders/attestation/delete	Tar bort attesteringstjänsten.
NotActions
ingen
DataActions
ingen
NotDataActions
ingen

{
  "assignableScopes": [
    "/"
  ],
  "description": "Can read write or delete the attestation provider instance",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/bbf86eb8-f7b4-4cce-96e4-18cddf81d86e",
  "name": "bbf86eb8-f7b4-4cce-96e4-18cddf81d86e",
  "permissions": [
    {
      "actions": [
        "Microsoft.Attestation/attestationProviders/attestation/read",
        "Microsoft.Attestation/attestationProviders/attestation/write",
        "Microsoft.Attestation/attestationProviders/attestation/delete"
      ],
      "notActions": [],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "Attestation Contributor",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Attesteringsläsare

Kan läsa egenskaperna för attesteringsprovidern

Läs mer

Åtgärder	beskrivning
Microsoft.Attestation/attestationProviders/attestation/read	Hämtar status för attesteringstjänsten.
Microsoft.Attestation/attestationProviders/read	Hämtar status för attesteringstjänsten.
NotActions
ingen
DataActions
ingen
NotDataActions
ingen

{
  "assignableScopes": [
    "/"
  ],
  "description": "Can read the attestation provider properties",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/fd1bd22b-8476-40bc-a0bc-69b95687b9f3",
  "name": "fd1bd22b-8476-40bc-a0bc-69b95687b9f3",
  "permissions": [
    {
      "actions": [
        "Microsoft.Attestation/attestationProviders/attestation/read",
        "Microsoft.Attestation/attestationProviders/read"
      ],
      "notActions": [],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "Attestation Reader",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Key Vault-administratör

Utför alla dataplansåtgärder på ett nyckelvalv och alla objekt i det, inklusive certifikat, nycklar och hemligheter. Det går inte att hantera key vault-resurser eller hantera rolltilldelningar. Fungerar bara för nyckelvalv som använder behörighetsmodellen "Rollbaserad åtkomstkontroll i Azure".

Läs mer

Åtgärder	Beskrivning
Microsoft.Authorization/*/read	Läsa roller och rolltilldelningar
Microsoft.Insights/alertRules/*	Skapa och hantera en klassisk måttavisering
Microsoft.Resources/deployments/*	Skapa och hantera en distribution
Microsoft.Resources/subscriptions/resourceGroups/read	Hämtar eller listar resursgrupper.
Microsoft.Support/*	Skapa och uppdatera ett supportärende
Microsoft.KeyVault/checkNameAvailability/read	Kontrollerar att ett nyckelvalvnamn är giltigt och inte används
Microsoft.KeyVault/deletedVaults/read	Visa egenskaperna för mjukt borttagna nyckelvalv
Microsoft.KeyVault/locations/*/read
Microsoft.KeyVault/vaults/*/read
Microsoft.KeyVault/operations/read	Visar en lista över tillgängliga åtgärder på Microsoft.KeyVault-resursprovidern
NotActions
ingen
DataActions
Microsoft.KeyVault/vaults/*
NotDataActions
ingen

{
  "assignableScopes": [
    "/"
  ],
  "description": "Perform all data plane operations on a key vault and all objects in it, including certificates, keys, and secrets. Cannot manage key vault resources or manage role assignments. Only works for key vaults that use the 'Azure role-based access control' permission model.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/00482a5a-887f-4fb3-b363-3b7fe8e74483",
  "name": "00482a5a-887f-4fb3-b363-3b7fe8e74483",
  "permissions": [
    {
      "actions": [
        "Microsoft.Authorization/*/read",
        "Microsoft.Insights/alertRules/*",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Support/*",
        "Microsoft.KeyVault/checkNameAvailability/read",
        "Microsoft.KeyVault/deletedVaults/read",
        "Microsoft.KeyVault/locations/*/read",
        "Microsoft.KeyVault/vaults/*/read",
        "Microsoft.KeyVault/operations/read"
      ],
      "notActions": [],
      "dataActions": [
        "Microsoft.KeyVault/vaults/*"
      ],
      "notDataActions": []
    }
  ],
  "roleName": "Key Vault Administrator",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Key Vault-certifikatanvändare

Läsa certifikatinnehåll. Fungerar bara för nyckelvalv som använder behörighetsmodellen "Rollbaserad åtkomstkontroll i Azure".

Läs mer

Åtgärder	Description
ingen
NotActions
ingen
DataActions
Microsoft.KeyVault/vaults/certificates/read	Visa en lista över certifikat i ett angivet nyckelvalv eller hämta information om ett certifikat.
Microsoft.KeyVault/vaults/secrets/getSecret/action	Hämtar värdet för en hemlighet.
Microsoft.KeyVault/vaults/secrets/readMetadata/action	Lista eller visa egenskaperna för en hemlighet, men inte dess värde.
Microsoft.KeyVault/vaults/keys/read	Visa en lista över nycklar i det angivna valvet eller läsegenskaper och offentligt material för en nyckel. För asymmetriska nycklar exponerar den här åtgärden offentlig nyckel och innehåller möjlighet att utföra algoritmer för offentlig nyckel, till exempel kryptera och verifiera signatur. Privata nycklar och symmetriska nycklar exponeras aldrig.
NotDataActions
ingen

{
  "assignableScopes": [
    "/"
  ],
  "description": "Read certificate contents. Only works for key vaults that use the 'Azure role-based access control' permission model.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/db79e9a7-68ee-4b58-9aeb-b90e7c24fcba",
  "name": "db79e9a7-68ee-4b58-9aeb-b90e7c24fcba",
  "permissions": [
    {
      "actions": [],
      "notActions": [],
      "dataActions": [
        "Microsoft.KeyVault/vaults/certificates/read",
        "Microsoft.KeyVault/vaults/secrets/getSecret/action",
        "Microsoft.KeyVault/vaults/secrets/readMetadata/action",
        "Microsoft.KeyVault/vaults/keys/read"
      ],
      "notDataActions": []
    }
  ],
  "roleName": "Key Vault Certificate User",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Key Vault Certificates Officer

Utför alla åtgärder på certifikaten för ett nyckelvalv, förutom att hantera behörigheter. Fungerar bara för nyckelvalv som använder behörighetsmodellen "Rollbaserad åtkomstkontroll i Azure".

Läs mer

Åtgärder	Beskrivning
Microsoft.Authorization/*/read	Läsa roller och rolltilldelningar
Microsoft.Insights/alertRules/*	Skapa och hantera en klassisk måttavisering
Microsoft.Resources/deployments/*	Skapa och hantera en distribution
Microsoft.Resources/subscriptions/resourceGroups/read	Hämtar eller listar resursgrupper.
Microsoft.Support/*	Skapa och uppdatera ett supportärende
Microsoft.KeyVault/checkNameAvailability/read	Kontrollerar att ett nyckelvalvnamn är giltigt och inte används
Microsoft.KeyVault/deletedVaults/read	Visa egenskaperna för mjukt borttagna nyckelvalv
Microsoft.KeyVault/locations/*/read
Microsoft.KeyVault/vaults/*/read
Microsoft.KeyVault/operations/read	Visar en lista över tillgängliga åtgärder på Microsoft.KeyVault-resursprovidern
NotActions
ingen
DataActions
Microsoft.KeyVault/vaults/certificatecas/*
Microsoft.KeyVault/vaults/certificates/*
Microsoft.KeyVault/vaults/certificatecontacts/write	Hantera certifikatkontakt
NotDataActions
ingen

{
  "assignableScopes": [
    "/"
  ],
  "description": "Perform any action on the certificates of a key vault, except manage permissions. Only works for key vaults that use the 'Azure role-based access control' permission model.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/a4417e6f-fecd-4de8-b567-7b0420556985",
  "name": "a4417e6f-fecd-4de8-b567-7b0420556985",
  "permissions": [
    {
      "actions": [
        "Microsoft.Authorization/*/read",
        "Microsoft.Insights/alertRules/*",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Support/*",
        "Microsoft.KeyVault/checkNameAvailability/read",
        "Microsoft.KeyVault/deletedVaults/read",
        "Microsoft.KeyVault/locations/*/read",
        "Microsoft.KeyVault/vaults/*/read",
        "Microsoft.KeyVault/operations/read"
      ],
      "notActions": [],
      "dataActions": [
        "Microsoft.KeyVault/vaults/certificatecas/*",
        "Microsoft.KeyVault/vaults/certificates/*",
        "Microsoft.KeyVault/vaults/certificatecontacts/write"
      ],
      "notDataActions": []
    }
  ],
  "roleName": "Key Vault Certificates Officer",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Key Vault-deltagare

Hantera nyckelvalv, men tillåter inte att du tilldelar roller i Azure RBAC och tillåter inte åtkomst till hemligheter, nycklar eller certifikat.

Läs mer

Viktigt!

När du använder behörighetsmodellen Åtkomstprincip kan en användare med Contributor, Key Vault Contributoreller någon annan roll som innehåller Microsoft.KeyVault/vaults/write behörigheter för nyckelvalvshanteringsplanet bevilja sig själva åtkomst till dataplanet genom att ange en åtkomstprincip för Key Vault. För att förhindra obehörig åtkomst och hantering av dina nyckelvalv, nycklar, hemligheter och certifikat är det viktigt att begränsa deltagarrollens åtkomst till nyckelvalv under behörighetsmodellen Åtkomstprincip. För att minska den här risken rekommenderar vi att du använder behörighetsmodellen rollbaserad åtkomstkontroll (RBAC), som begränsar behörighetshanteringen till rollerna "Ägare" och "Administratör för användaråtkomst", vilket ger en tydlig uppdelning mellan säkerhetsåtgärder och administrativa uppgifter. Mer information finns i Key Vault RBAC-guiden och Vad är Azure RBAC?

Åtgärder	Beskrivning
Microsoft.Authorization/*/read	Läsa roller och rolltilldelningar
Microsoft.Insights/alertRules/*	Skapa och hantera en klassisk måttavisering
Microsoft.KeyVault/*
Microsoft.Resources/deployments/*	Skapa och hantera en distribution
Microsoft.Resources/subscriptions/resourceGroups/read	Hämtar eller listar resursgrupper.
Microsoft.Support/*	Skapa och uppdatera ett supportärende
NotActions
Microsoft.KeyVault/locations/deletedVaults/purge/action	Rensa ett mjukt borttaget nyckelvalv
Microsoft.KeyVault/hsmPools/*
Microsoft.KeyVault/managedHsms/*
DataActions
ingen
NotDataActions
ingen

{
  "assignableScopes": [
    "/"
  ],
  "description": "Lets you manage key vaults, but not access to them.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/f25e0fa2-a7c8-4377-a976-54943a77a395",
  "name": "f25e0fa2-a7c8-4377-a976-54943a77a395",
  "permissions": [
    {
      "actions": [
        "Microsoft.Authorization/*/read",
        "Microsoft.Insights/alertRules/*",
        "Microsoft.KeyVault/*",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Support/*"
      ],
      "notActions": [
        "Microsoft.KeyVault/locations/deletedVaults/purge/action",
        "Microsoft.KeyVault/hsmPools/*",
        "Microsoft.KeyVault/managedHsms/*"
      ],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "Key Vault Contributor",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Key Vault Crypto Officer

Utför alla åtgärder på nycklarna i ett nyckelvalv, förutom att hantera behörigheter. Fungerar bara för nyckelvalv som använder behörighetsmodellen "Rollbaserad åtkomstkontroll i Azure".

Läs mer

Åtgärder	Beskrivning
Microsoft.Authorization/*/read	Läsa roller och rolltilldelningar
Microsoft.Insights/alertRules/*	Skapa och hantera en klassisk måttavisering
Microsoft.Resources/deployments/*	Skapa och hantera en distribution
Microsoft.Resources/subscriptions/resourceGroups/read	Hämtar eller listar resursgrupper.
Microsoft.Support/*	Skapa och uppdatera ett supportärende
Microsoft.KeyVault/checkNameAvailability/read	Kontrollerar att ett nyckelvalvnamn är giltigt och inte används
Microsoft.KeyVault/deletedVaults/read	Visa egenskaperna för mjukt borttagna nyckelvalv
Microsoft.KeyVault/locations/*/read
Microsoft.KeyVault/vaults/*/read
Microsoft.KeyVault/operations/read	Visar en lista över tillgängliga åtgärder på Microsoft.KeyVault-resursprovidern
NotActions
ingen
DataActions
Microsoft.KeyVault/vaults/keys/*
Microsoft.KeyVault/vaults/keyrotationpolicies/*
NotDataActions
ingen

{
  "assignableScopes": [
    "/"
  ],
  "description": "Perform any action on the keys of a key vault, except manage permissions. Only works for key vaults that use the 'Azure role-based access control' permission model.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/14b46e9e-c2b7-41b4-b07b-48a6ebf60603",
  "name": "14b46e9e-c2b7-41b4-b07b-48a6ebf60603",
  "permissions": [
    {
      "actions": [
        "Microsoft.Authorization/*/read",
        "Microsoft.Insights/alertRules/*",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Support/*",
        "Microsoft.KeyVault/checkNameAvailability/read",
        "Microsoft.KeyVault/deletedVaults/read",
        "Microsoft.KeyVault/locations/*/read",
        "Microsoft.KeyVault/vaults/*/read",
        "Microsoft.KeyVault/operations/read"
      ],
      "notActions": [],
      "dataActions": [
        "Microsoft.KeyVault/vaults/keys/*",
        "Microsoft.KeyVault/vaults/keyrotationpolicies/*"
      ],
      "notDataActions": []
    }
  ],
  "roleName": "Key Vault Crypto Officer",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Krypteringsanvändare för Key Vault Crypto Service

Läs metadata för nycklar och utför wrap/unwrap-åtgärder. Fungerar bara för nyckelvalv som använder behörighetsmodellen "Rollbaserad åtkomstkontroll i Azure".

Läs mer

Åtgärder	beskrivning
Microsoft.EventGrid/eventSubscriptions/write	Skapa eller uppdatera en eventSubscription
Microsoft.EventGrid/eventSubscriptions/read	Läsa en eventSubscription
Microsoft.EventGrid/eventSubscriptions/delete	Ta bort en eventSubscription
NotActions
ingen
DataActions
Microsoft.KeyVault/vaults/keys/read	Visa en lista över nycklar i det angivna valvet eller läsegenskaper och offentligt material för en nyckel. För asymmetriska nycklar exponerar den här åtgärden offentlig nyckel och innehåller möjlighet att utföra algoritmer för offentlig nyckel, till exempel kryptera och verifiera signatur. Privata nycklar och symmetriska nycklar exponeras aldrig.
Microsoft.KeyVault/vaults/keys/wrap/action	Omsluter en symmetrisk nyckel med en Key Vault-nyckel. Observera att om Key Vault-nyckeln är asymmetrisk kan den här åtgärden utföras av huvudnamn med läsåtkomst.
Microsoft.KeyVault/vaults/keys/unwrap/action	Hämtar en symmetrisk nyckel med en Key Vault-nyckel.
NotDataActions
ingen

{
  "assignableScopes": [
    "/"
  ],
  "description": "Read metadata of keys and perform wrap/unwrap operations. Only works for key vaults that use the 'Azure role-based access control' permission model.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/e147488a-f6f5-4113-8e2d-b22465e65bf6",
  "name": "e147488a-f6f5-4113-8e2d-b22465e65bf6",
  "permissions": [
    {
      "actions": [
        "Microsoft.EventGrid/eventSubscriptions/write",
        "Microsoft.EventGrid/eventSubscriptions/read",
        "Microsoft.EventGrid/eventSubscriptions/delete"
      ],
      "notActions": [],
      "dataActions": [
        "Microsoft.KeyVault/vaults/keys/read",
        "Microsoft.KeyVault/vaults/keys/wrap/action",
        "Microsoft.KeyVault/vaults/keys/unwrap/action"
      ],
      "notDataActions": []
    }
  ],
  "roleName": "Key Vault Crypto Service Encryption User",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Key Vault Crypto Service Release User

Versionsnycklar. Fungerar bara för nyckelvalv som använder behörighetsmodellen "Rollbaserad åtkomstkontroll i Azure".

Läs mer

Åtgärder	Description
ingen
NotActions
ingen
DataActions
Microsoft.KeyVault/vaults/keys/release/action	Släpp en nyckel med hjälp av en offentlig del av KEK från attesteringstoken.
NotDataActions
ingen

{
  "assignableScopes": [
    "/"
  ],
  "description": "Release keys. Only works for key vaults that use the 'Azure role-based access control' permission model.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/08bbd89e-9f13-488c-ac41-acfcb10c90ab",
  "name": "08bbd89e-9f13-488c-ac41-acfcb10c90ab",
  "permissions": [
    {
      "actions": [],
      "notActions": [],
      "dataActions": [
        "Microsoft.KeyVault/vaults/keys/release/action"
      ],
      "notDataActions": []
    }
  ],
  "roleName": "Key Vault Crypto Service Release User",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Key Vault Crypto-användare

Utför kryptografiska åtgärder med hjälp av nycklar. Fungerar bara för nyckelvalv som använder behörighetsmodellen "Rollbaserad åtkomstkontroll i Azure".

Läs mer

Åtgärder	Description
ingen
NotActions
ingen
DataActions
Microsoft.KeyVault/vaults/keys/read	Visa en lista över nycklar i det angivna valvet eller läsegenskaper och offentligt material för en nyckel. För asymmetriska nycklar exponerar den här åtgärden offentlig nyckel och innehåller möjlighet att utföra algoritmer för offentlig nyckel, till exempel kryptera och verifiera signatur. Privata nycklar och symmetriska nycklar exponeras aldrig.
Microsoft.KeyVault/vaults/keys/update/action	Uppdaterar de angivna attributen som är associerade med den angivna nyckeln.
Microsoft.KeyVault/vaults/keys/backup/action	Skapar säkerhetskopian av en nyckel. Filen kan användas för att återställa nyckeln i ett Nyckelvalv med samma prenumeration. Begränsningar kan gälla.
Microsoft.KeyVault/vaults/keys/encrypt/action	Krypterar klartext med en nyckel. Observera att om nyckeln är asymmetrisk kan den här åtgärden utföras av huvudnamn med läsbehörighet.
Microsoft.KeyVault/vaults/keys/decrypt/action	Dekrypterar chiffertext med en nyckel.
Microsoft.KeyVault/vaults/keys/wrap/action	Omsluter en symmetrisk nyckel med en Key Vault-nyckel. Observera att om Key Vault-nyckeln är asymmetrisk kan den här åtgärden utföras av huvudnamn med läsåtkomst.
Microsoft.KeyVault/vaults/keys/unwrap/action	Hämtar en symmetrisk nyckel med en Key Vault-nyckel.
Microsoft.KeyVault/vaults/keys/sign/action	Signerar en meddelandesammandrag (hash) med en nyckel.
Microsoft.KeyVault/vaults/keys/verify/action	Verifierar signaturen för en meddelandesammandrag (hash) med en nyckel. Observera att om nyckeln är asymmetrisk kan den här åtgärden utföras av huvudnamn med läsbehörighet.
NotDataActions
ingen

{
  "assignableScopes": [
    "/"
  ],
  "description": "Perform cryptographic operations using keys. Only works for key vaults that use the 'Azure role-based access control' permission model.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/12338af0-0e69-4776-bea7-57ae8d297424",
  "name": "12338af0-0e69-4776-bea7-57ae8d297424",
  "permissions": [
    {
      "actions": [],
      "notActions": [],
      "dataActions": [
        "Microsoft.KeyVault/vaults/keys/read",
        "Microsoft.KeyVault/vaults/keys/update/action",
        "Microsoft.KeyVault/vaults/keys/backup/action",
        "Microsoft.KeyVault/vaults/keys/encrypt/action",
        "Microsoft.KeyVault/vaults/keys/decrypt/action",
        "Microsoft.KeyVault/vaults/keys/wrap/action",
        "Microsoft.KeyVault/vaults/keys/unwrap/action",
        "Microsoft.KeyVault/vaults/keys/sign/action",
        "Microsoft.KeyVault/vaults/keys/verify/action"
      ],
      "notDataActions": []
    }
  ],
  "roleName": "Key Vault Crypto User",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Key Vault-administratör för dataåtkomst

Hantera åtkomst till Azure Key Vault genom att lägga till eller ta bort rolltilldelningar för Key Vault-administratören, Key Vault Certificates Officer, Key Vault Crypto Officer, Key Vault Crypto Service Encryption User, Key Vault Crypto User, Key Vault Reader, Key Vault Secrets Officer eller Key Vault Secrets User-roller. Innehåller ett ABAC-villkor för att begränsa rolltilldelningar.

Åtgärder	beskrivning
Microsoft.Authorization/roleAssignments/write	Skapa en rolltilldelning i det angivna omfånget.
Microsoft.Authorization/roleAssignments/delete	Ta bort en rolltilldelning i det angivna omfånget.
Microsoft.Authorization/*/read	Läsa roller och rolltilldelningar
Microsoft.Resources/deployments/*	Skapa och hantera en distribution
Microsoft.Resources/subscriptions/resourceGroups/read	Hämtar eller listar resursgrupper.
Microsoft.Resources/subscriptions/read	Hämtar listan över prenumerationer.
Microsoft.Management/managementGroups/read	Lista hanteringsgrupper för den autentiserade användaren.
Microsoft.Resources/deployments/*	Skapa och hantera en distribution
Microsoft.Support/*	Skapa och uppdatera ett supportärende
Microsoft.KeyVault/vaults/*/read
NotActions
ingen
DataActions
ingen
NotDataActions
ingen
Condition
((! (ActionMatches{'Microsoft.Authorization/roleAssignments/write'})) OR (@Request[Microsoft.Authorization/roleAssignments:RoleDefinitionId] ForAnyOfAnyValues:GuidEquals{00482a5a-887f-4fb3-b363-3b7fe8e74483, a4417e6f-fecd-4de8-b567-7b0420556985, 14b46e9e-c2b7-41b4-b07b-48a6ebf60603, e147488a-f6f5-4113-8e2d-b22465e65bf6, 12338af0-0e69-4776-bea7-57ae8d297424, 21090545-7ca7-4776-b22c-e363652d74d2, b86a8fe4-44ce-4948-aee5-eccb2c155cd7, 4633458b-17de-408a-b874-0445c86b69e6})) AND ((!( ActionMatches{'Microsoft.Authorization/roleAssignments/delete'})) OR (@Resource[Microsoft.Authorization/roleAssignments:RoleDefinitionId] ForAnyOfAnyValues:GuidEquals{00482a5a-887f-4fb3-b363-3b7fe8e74483, a4417e6f-fecd-4de8-b567-7b0420556985, 14b46e9e-c2b7-41b4-b07b-48a6ebf60603, e147488a-f6f5-4113-8e2d-b22465e65bf6, 12338af0-0e69-4776-bea7-57ae8d297424, 21090545-7ca7-4776-b22c-e363652d74d2, b86a8fe4-44ce-4948-aee5-eccb2c155cd7, 4633458b-17de-408a-b874-0445c86b69e6}))	Lägg till eller ta bort rolltilldelningar för följande roller: Key Vault-administratör Key Vault Certificates Officer Key Vault Crypto Officer Krypteringsanvändare för Key Vault Crypto Service Key Vault Crypto-användare Key Vault-läsare Key Vault Secrets Officer Nyckelvalvshemlighetsanvändare

{
  "assignableScopes": [
    "/"
  ],
  "description": "Manage access to Azure Key Vault by adding or removing role assignments for the Key Vault Administrator, Key Vault Certificates Officer, Key Vault Crypto Officer, Key Vault Crypto Service Encryption User, Key Vault Crypto User, Key Vault Reader, Key Vault Secrets Officer, or Key Vault Secrets User roles. Includes an ABAC condition to constrain role assignments.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/8b54135c-b56d-4d72-a534-26097cfdc8d8",
  "name": "8b54135c-b56d-4d72-a534-26097cfdc8d8",
  "permissions": [
    {
      "actions": [
        "Microsoft.Authorization/roleAssignments/write",
        "Microsoft.Authorization/roleAssignments/delete",
        "Microsoft.Authorization/*/read",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Resources/subscriptions/read",
        "Microsoft.Management/managementGroups/read",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Support/*",
        "Microsoft.KeyVault/vaults/*/read"
      ],
      "notActions": [],
      "dataActions": [],
      "notDataActions": [],
      "conditionVersion": "2.0",
      "condition": "((!(ActionMatches{'Microsoft.Authorization/roleAssignments/write'})) OR (@Request[Microsoft.Authorization/roleAssignments:RoleDefinitionId] ForAnyOfAnyValues:GuidEquals{00482a5a-887f-4fb3-b363-3b7fe8e74483, a4417e6f-fecd-4de8-b567-7b0420556985, 14b46e9e-c2b7-41b4-b07b-48a6ebf60603, e147488a-f6f5-4113-8e2d-b22465e65bf6, 12338af0-0e69-4776-bea7-57ae8d297424, 21090545-7ca7-4776-b22c-e363652d74d2, b86a8fe4-44ce-4948-aee5-eccb2c155cd7, 4633458b-17de-408a-b874-0445c86b69e6})) AND ((!(ActionMatches{'Microsoft.Authorization/roleAssignments/delete'})) OR (@Resource[Microsoft.Authorization/roleAssignments:RoleDefinitionId] ForAnyOfAnyValues:GuidEquals{00482a5a-887f-4fb3-b363-3b7fe8e74483, a4417e6f-fecd-4de8-b567-7b0420556985, 14b46e9e-c2b7-41b4-b07b-48a6ebf60603, e147488a-f6f5-4113-8e2d-b22465e65bf6, 12338af0-0e69-4776-bea7-57ae8d297424, 21090545-7ca7-4776-b22c-e363652d74d2, b86a8fe4-44ce-4948-aee5-eccb2c155cd7, 4633458b-17de-408a-b874-0445c86b69e6}))"
    }
  ],
  "roleName": "Key Vault Data Access Administrator",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Key Vault-läsare

Läs metadata för nyckelvalv och dess certifikat, nycklar och hemligheter. Det går inte att läsa känsliga värden, till exempel hemligt innehåll eller nyckelmaterial. Fungerar bara för nyckelvalv som använder behörighetsmodellen "Rollbaserad åtkomstkontroll i Azure".

Läs mer

Åtgärder	Beskrivning
Microsoft.Authorization/*/read	Läsa roller och rolltilldelningar
Microsoft.Insights/alertRules/*	Skapa och hantera en klassisk måttavisering
Microsoft.Resources/deployments/*	Skapa och hantera en distribution
Microsoft.Resources/subscriptions/resourceGroups/read	Hämtar eller listar resursgrupper.
Microsoft.Support/*	Skapa och uppdatera ett supportärende
Microsoft.KeyVault/checkNameAvailability/read	Kontrollerar att ett nyckelvalvnamn är giltigt och inte används
Microsoft.KeyVault/deletedVaults/read	Visa egenskaperna för mjukt borttagna nyckelvalv
Microsoft.KeyVault/locations/*/read
Microsoft.KeyVault/vaults/*/read
Microsoft.KeyVault/operations/read	Visar en lista över tillgängliga åtgärder på Microsoft.KeyVault-resursprovidern
NotActions
ingen
DataActions
Microsoft.KeyVault/vaults/*/read
Microsoft.KeyVault/vaults/secrets/readMetadata/action	Lista eller visa egenskaperna för en hemlighet, men inte dess värde.
NotDataActions
ingen

{
  "assignableScopes": [
    "/"
  ],
  "description": "Read metadata of key vaults and its certificates, keys, and secrets. Cannot read sensitive values such as secret contents or key material. Only works for key vaults that use the 'Azure role-based access control' permission model.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/21090545-7ca7-4776-b22c-e363652d74d2",
  "name": "21090545-7ca7-4776-b22c-e363652d74d2",
  "permissions": [
    {
      "actions": [
        "Microsoft.Authorization/*/read",
        "Microsoft.Insights/alertRules/*",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Support/*",
        "Microsoft.KeyVault/checkNameAvailability/read",
        "Microsoft.KeyVault/deletedVaults/read",
        "Microsoft.KeyVault/locations/*/read",
        "Microsoft.KeyVault/vaults/*/read",
        "Microsoft.KeyVault/operations/read"
      ],
      "notActions": [],
      "dataActions": [
        "Microsoft.KeyVault/vaults/*/read",
        "Microsoft.KeyVault/vaults/secrets/readMetadata/action"
      ],
      "notDataActions": []
    }
  ],
  "roleName": "Key Vault Reader",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Key Vault Secrets Officer

Utför alla åtgärder på hemligheterna i ett nyckelvalv, förutom att hantera behörigheter. Fungerar bara för nyckelvalv som använder behörighetsmodellen "Rollbaserad åtkomstkontroll i Azure".

Läs mer

Åtgärder	Beskrivning
Microsoft.Authorization/*/read	Läsa roller och rolltilldelningar
Microsoft.Insights/alertRules/*	Skapa och hantera en klassisk måttavisering
Microsoft.Resources/deployments/*	Skapa och hantera en distribution
Microsoft.Resources/subscriptions/resourceGroups/read	Hämtar eller listar resursgrupper.
Microsoft.Support/*	Skapa och uppdatera ett supportärende
Microsoft.KeyVault/checkNameAvailability/read	Kontrollerar att ett nyckelvalvnamn är giltigt och inte används
Microsoft.KeyVault/deletedVaults/read	Visa egenskaperna för mjukt borttagna nyckelvalv
Microsoft.KeyVault/locations/*/read
Microsoft.KeyVault/vaults/*/read
Microsoft.KeyVault/operations/read	Visar en lista över tillgängliga åtgärder på Microsoft.KeyVault-resursprovidern
NotActions
ingen
DataActions
Microsoft.KeyVault/vaults/secrets/*
NotDataActions
ingen

{
  "assignableScopes": [
    "/"
  ],
  "description": "Perform any action on the secrets of a key vault, except manage permissions. Only works for key vaults that use the 'Azure role-based access control' permission model.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/b86a8fe4-44ce-4948-aee5-eccb2c155cd7",
  "name": "b86a8fe4-44ce-4948-aee5-eccb2c155cd7",
  "permissions": [
    {
      "actions": [
        "Microsoft.Authorization/*/read",
        "Microsoft.Insights/alertRules/*",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Support/*",
        "Microsoft.KeyVault/checkNameAvailability/read",
        "Microsoft.KeyVault/deletedVaults/read",
        "Microsoft.KeyVault/locations/*/read",
        "Microsoft.KeyVault/vaults/*/read",
        "Microsoft.KeyVault/operations/read"
      ],
      "notActions": [],
      "dataActions": [
        "Microsoft.KeyVault/vaults/secrets/*"
      ],
      "notDataActions": []
    }
  ],
  "roleName": "Key Vault Secrets Officer",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Nyckelvalvshemlighetsanvändare

Läs hemligt innehåll. Fungerar bara för nyckelvalv som använder behörighetsmodellen "Rollbaserad åtkomstkontroll i Azure".

Läs mer

Åtgärder	Description
ingen
NotActions
ingen
DataActions
Microsoft.KeyVault/vaults/secrets/getSecret/action	Hämtar värdet för en hemlighet.
Microsoft.KeyVault/vaults/secrets/readMetadata/action	Lista eller visa egenskaperna för en hemlighet, men inte dess värde.
NotDataActions
ingen

{
  "assignableScopes": [
    "/"
  ],
  "description": "Read secret contents. Only works for key vaults that use the 'Azure role-based access control' permission model.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/4633458b-17de-408a-b874-0445c86b69e6",
  "name": "4633458b-17de-408a-b874-0445c86b69e6",
  "permissions": [
    {
      "actions": [],
      "notActions": [],
      "dataActions": [
        "Microsoft.KeyVault/vaults/secrets/getSecret/action",
        "Microsoft.KeyVault/vaults/secrets/readMetadata/action"
      ],
      "notDataActions": []
    }
  ],
  "roleName": "Key Vault Secrets User",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Hanterad HSM-deltagare

Gör att du kan hantera hanterade HSM-pooler, men inte åtkomst till dem.

Läs mer

Åtgärder	beskrivning
Microsoft.KeyVault/managedHSMs/*
Microsoft.KeyVault/deletedManagedHsms/read	Visa egenskaperna för en borttagen hanterad hsm
Microsoft.KeyVault/locations/deletedManagedHsms/read	Visa egenskaperna för en borttagen hanterad hsm
Microsoft.KeyVault/locations/deletedManagedHsms/purge/action	Rensa en mjuk borttagen hanterad hsm
Microsoft.KeyVault/locations/managedHsmOperationResults/read	Kontrollera resultatet av en långvarig åtgärd
NotActions
ingen
DataActions
ingen
NotDataActions
ingen

{
  "assignableScopes": [
    "/"
  ],
  "description": "Lets you manage managed HSM pools, but not access to them.",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/18500a29-7fe2-46b2-a342-b16a415e101d",
  "name": "18500a29-7fe2-46b2-a342-b16a415e101d",
  "permissions": [
    {
      "actions": [
        "Microsoft.KeyVault/managedHSMs/*",
        "Microsoft.KeyVault/deletedManagedHsms/read",
        "Microsoft.KeyVault/locations/deletedManagedHsms/read",
        "Microsoft.KeyVault/locations/deletedManagedHsms/purge/action",
        "Microsoft.KeyVault/locations/managedHsmOperationResults/read"
      ],
      "notActions": [],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "Managed HSM contributor",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Microsoft Sentinel Automation-deltagare

Läs mer

Åtgärder	Beskrivning
Microsoft.Authorization/*/read	Läsa roller och rolltilldelningar
Microsoft.Logic/workflows/triggers/read	Läser utlösaren.
Microsoft.Logic/workflows/triggers/listCallbackUrl/action	Hämtar återanrops-URL:en för utlösare.
Microsoft.Logic/workflows/runs/read	Läser arbetsflödeskörningen.
Microsoft.Web/sites/hostruntime/webhooks/api/workflows/triggers/read	Visa en lista över utlösare för Web Apps Hostruntime-arbetsflöde.
Microsoft.Web/sites/hostruntime/webhooks/api/workflows/triggers/listCallbackUrl/action	Hämta Web Apps Hostruntime Workflow Trigger Uri.
Microsoft.Web/sites/hostruntime/webhooks/api/workflows/runs/read	Visa en lista över arbetsflödeskörningar för Web Apps Hostruntime.
NotActions
ingen
DataActions
ingen
NotDataActions
ingen

{
  "assignableScopes": [
    "/"
  ],
  "description": "Microsoft Sentinel Automation Contributor",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/f4c81013-99ee-4d62-a7ee-b3f1f648599a",
  "name": "f4c81013-99ee-4d62-a7ee-b3f1f648599a",
  "permissions": [
    {
      "actions": [
        "Microsoft.Authorization/*/read",
        "Microsoft.Logic/workflows/triggers/read",
        "Microsoft.Logic/workflows/triggers/listCallbackUrl/action",
        "Microsoft.Logic/workflows/runs/read",
        "Microsoft.Web/sites/hostruntime/webhooks/api/workflows/triggers/read",
        "Microsoft.Web/sites/hostruntime/webhooks/api/workflows/triggers/listCallbackUrl/action",
        "Microsoft.Web/sites/hostruntime/webhooks/api/workflows/runs/read"
      ],
      "notActions": [],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "Microsoft Sentinel Automation Contributor",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Microsoft Sentinel-deltagare

Läs mer

Åtgärder	beskrivning
Microsoft.SecurityInsights/*
Microsoft.OperationalInsights/workspaces/analytics/query/action	Sök med hjälp av den nya motorn.
Microsoft.OperationalInsights/workspaces/*/read	Visa logganalysdata
Microsoft.OperationalInsights/workspaces/savedSearches/*
Microsoft.OperationsManagement/solutions/read	Hämta befintlig OMS-lösning
Microsoft.OperationalInsights/workspaces/query/read	Köra frågor över data på arbetsytan
Microsoft.OperationalInsights/workspaces/query/*/read
Microsoft.OperationalInsights/workspaces/dataSources/read	Hämta datakälla under en arbetsyta.
Microsoft.OperationalInsights/querypacks/*/read
Microsoft.Insights/arbetsböcker/*
Microsoft.Insights/myworkbooks/read
Microsoft.Authorization/*/read	Läsa roller och rolltilldelningar
Microsoft.Insights/alertRules/*	Skapa och hantera en klassisk måttavisering
Microsoft.Resources/deployments/*	Skapa och hantera en distribution
Microsoft.Resources/subscriptions/resourceGroups/read	Hämtar eller listar resursgrupper.
Microsoft.Support/*	Skapa och uppdatera ett supportärende
NotActions
Microsoft.SecurityInsights/ConfidentialWatchlists/*
Microsoft.OperationalInsights/workspaces/query/ConfidentialWatchlist/*
DataActions
ingen
NotDataActions
ingen

{
  "assignableScopes": [
    "/"
  ],
  "description": "Microsoft Sentinel Contributor",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/ab8e14d6-4a74-4a29-9ba8-549422addade",
  "name": "ab8e14d6-4a74-4a29-9ba8-549422addade",
  "permissions": [
    {
      "actions": [
        "Microsoft.SecurityInsights/*",
        "Microsoft.OperationalInsights/workspaces/analytics/query/action",
        "Microsoft.OperationalInsights/workspaces/*/read",
        "Microsoft.OperationalInsights/workspaces/savedSearches/*",
        "Microsoft.OperationsManagement/solutions/read",
        "Microsoft.OperationalInsights/workspaces/query/read",
        "Microsoft.OperationalInsights/workspaces/query/*/read",
        "Microsoft.OperationalInsights/workspaces/dataSources/read",
        "Microsoft.OperationalInsights/querypacks/*/read",
        "Microsoft.Insights/workbooks/*",
        "Microsoft.Insights/myworkbooks/read",
        "Microsoft.Authorization/*/read",
        "Microsoft.Insights/alertRules/*",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Support/*"
      ],
      "notActions": [
        "Microsoft.SecurityInsights/ConfidentialWatchlists/*",
        "Microsoft.OperationalInsights/workspaces/query/ConfidentialWatchlist/*"
      ],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "Microsoft Sentinel Contributor",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Microsoft Sentinel-spelboksoperator

Läs mer

Åtgärder	beskrivning
Microsoft.Logic/workflows/read	Läser arbetsflödet.
Microsoft.Logic/workflows/triggers/listCallbackUrl/action	Hämtar återanrops-URL:en för utlösare.
Microsoft.Web/sites/hostruntime/webhooks/api/workflows/triggers/listCallbackUrl/action	Hämta Web Apps Hostruntime Workflow Trigger Uri.
Microsoft.Web/sites/read	Hämta egenskaperna för en webbapp
NotActions
ingen
DataActions
ingen
NotDataActions
ingen

{
  "assignableScopes": [
    "/"
  ],
  "description": "Microsoft Sentinel Playbook Operator",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/51d6186e-6489-4900-b93f-92e23144cca5",
  "name": "51d6186e-6489-4900-b93f-92e23144cca5",
  "permissions": [
    {
      "actions": [
        "Microsoft.Logic/workflows/read",
        "Microsoft.Logic/workflows/triggers/listCallbackUrl/action",
        "Microsoft.Web/sites/hostruntime/webhooks/api/workflows/triggers/listCallbackUrl/action",
        "Microsoft.Web/sites/read"
      ],
      "notActions": [],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "Microsoft Sentinel Playbook Operator",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Microsoft Sentinel-läsare

Läs mer

Åtgärder	beskrivning
Microsoft.SecurityInsights/*/read
Microsoft.SecurityInsights/dataConnectorsCheckRequirements/action	Kontrollera användarauktorisering och licens
Microsoft.SecurityInsights/threatIntelligence/indicators/query/action	Frågeindikatorer för hotinformation
Microsoft.SecurityInsights/threatIntelligence/queryIndicators/action	Frågeindikatorer för hotinformation
Microsoft.OperationalInsights/workspaces/analytics/query/action	Sök med hjälp av den nya motorn.
Microsoft.OperationalInsights/workspaces/*/read	Visa logganalysdata
Microsoft.OperationalInsights/workspaces/LinkedServices/read	Hämta länkade tjänster under den angivna arbetsytan.
Microsoft.OperationalInsights/workspaces/savedSearches/read	Hämtar en sparad sökfråga.
Microsoft.OperationsManagement/solutions/read	Hämta befintlig OMS-lösning
Microsoft.OperationalInsights/workspaces/query/read	Köra frågor över data på arbetsytan
Microsoft.OperationalInsights/workspaces/query/*/read
Microsoft.OperationalInsights/querypacks/*/read
Microsoft.OperationalInsights/workspaces/dataSources/read	Hämta datakälla under en arbetsyta.
Microsoft.Insights/arbetsböcker/läs	Läsa en arbetsbok
Microsoft.Insights/myworkbooks/read
Microsoft.Authorization/*/read	Läsa roller och rolltilldelningar
Microsoft.Insights/alertRules/*	Skapa och hantera en klassisk måttavisering
Microsoft.Resources/deployments/*	Skapa och hantera en distribution
Microsoft.Resources/subscriptions/resourceGroups/read	Hämtar eller listar resursgrupper.
Microsoft.Resources/templateSpecs/*/read	Hämta eller lista mallspecifikationer och mallspecifikationsversioner
Microsoft.Support/*	Skapa och uppdatera ett supportärende
NotActions
Microsoft.SecurityInsights/ConfidentialWatchlists/*
Microsoft.OperationalInsights/workspaces/query/ConfidentialWatchlist/*
DataActions
ingen
NotDataActions
ingen

{
  "assignableScopes": [
    "/"
  ],
  "description": "Microsoft Sentinel Reader",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/8d289c81-5878-46d4-8554-54e1e3d8b5cb",
  "name": "8d289c81-5878-46d4-8554-54e1e3d8b5cb",
  "permissions": [
    {
      "actions": [
        "Microsoft.SecurityInsights/*/read",
        "Microsoft.SecurityInsights/dataConnectorsCheckRequirements/action",
        "Microsoft.SecurityInsights/threatIntelligence/indicators/query/action",
        "Microsoft.SecurityInsights/threatIntelligence/queryIndicators/action",
        "Microsoft.OperationalInsights/workspaces/analytics/query/action",
        "Microsoft.OperationalInsights/workspaces/*/read",
        "Microsoft.OperationalInsights/workspaces/LinkedServices/read",
        "Microsoft.OperationalInsights/workspaces/savedSearches/read",
        "Microsoft.OperationsManagement/solutions/read",
        "Microsoft.OperationalInsights/workspaces/query/read",
        "Microsoft.OperationalInsights/workspaces/query/*/read",
        "Microsoft.OperationalInsights/querypacks/*/read",
        "Microsoft.OperationalInsights/workspaces/dataSources/read",
        "Microsoft.Insights/workbooks/read",
        "Microsoft.Insights/myworkbooks/read",
        "Microsoft.Authorization/*/read",
        "Microsoft.Insights/alertRules/*",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Resources/templateSpecs/*/read",
        "Microsoft.Support/*"
      ],
      "notActions": [
        "Microsoft.SecurityInsights/ConfidentialWatchlists/*",
        "Microsoft.OperationalInsights/workspaces/query/ConfidentialWatchlist/*"
      ],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "Microsoft Sentinel Reader",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Microsoft Sentinel-svarare

Läs mer

Åtgärder	beskrivning
Microsoft.SecurityInsights/*/read
Microsoft.SecurityInsights/dataConnectorsCheckRequirements/action	Kontrollera användarauktorisering och licens
Microsoft.SecurityInsights/automationRules/*
Microsoft.SecurityInsights/cases/*
Microsoft.SecurityInsights/incidents/*
Microsoft.SecurityInsights/entiteter/runPlaybook/action	Köra spelbok på entitet
Microsoft.SecurityInsights/threatIntelligence/indicators/appendTags/action	Lägg till taggar i indikatorn för hotinformation
Microsoft.SecurityInsights/threatIntelligence/indicators/query/action	Frågeindikatorer för hotinformation
Microsoft.SecurityInsights/threatIntelligence/bulkTag/action	Hotinformation om masstaggar
Microsoft.SecurityInsights/threatIntelligence/indicators/appendTags/action	Lägg till taggar i indikatorn för hotinformation
Microsoft.SecurityInsights/threatIntelligence/indicators/replaceTags/action	Ersätt taggar för indikator för hotinformation
Microsoft.SecurityInsights/threatIntelligence/queryIndicators/action	Frågeindikatorer för hotinformation
Microsoft.SecurityInsights/businessApplicationAgents/systems/undoAction/action	Ångrar en åtgärd
Microsoft.OperationalInsights/workspaces/analytics/query/action	Sök med hjälp av den nya motorn.
Microsoft.OperationalInsights/workspaces/*/read	Visa logganalysdata
Microsoft.OperationalInsights/workspaces/dataSources/read	Hämta datakälla under en arbetsyta.
Microsoft.OperationalInsights/workspaces/savedSearches/read	Hämtar en sparad sökfråga.
Microsoft.OperationsManagement/solutions/read	Hämta befintlig OMS-lösning
Microsoft.OperationalInsights/workspaces/query/read	Köra frågor över data på arbetsytan
Microsoft.OperationalInsights/workspaces/query/*/read
Microsoft.OperationalInsights/workspaces/dataSources/read	Hämta datakälla under en arbetsyta.
Microsoft.OperationalInsights/querypacks/*/read
Microsoft.Insights/arbetsböcker/läs	Läsa en arbetsbok
Microsoft.Insights/myworkbooks/read
Microsoft.Authorization/*/read	Läsa roller och rolltilldelningar
Microsoft.Insights/alertRules/*	Skapa och hantera en klassisk måttavisering
Microsoft.Resources/deployments/*	Skapa och hantera en distribution
Microsoft.Resources/subscriptions/resourceGroups/read	Hämtar eller listar resursgrupper.
Microsoft.Support/*	Skapa och uppdatera ett supportärende
NotActions
Microsoft.SecurityInsights/cases/*/Delete
Microsoft.SecurityInsights/incidents/*/Delete
Microsoft.SecurityInsights/ConfidentialWatchlists/*
Microsoft.OperationalInsights/workspaces/query/ConfidentialWatchlist/*
DataActions
ingen
NotDataActions
ingen

{
  "assignableScopes": [
    "/"
  ],
  "description": "Microsoft Sentinel Responder",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/3e150937-b8fe-4cfb-8069-0eaf05ecd056",
  "name": "3e150937-b8fe-4cfb-8069-0eaf05ecd056",
  "permissions": [
    {
      "actions": [
        "Microsoft.SecurityInsights/*/read",
        "Microsoft.SecurityInsights/dataConnectorsCheckRequirements/action",
        "Microsoft.SecurityInsights/automationRules/*",
        "Microsoft.SecurityInsights/cases/*",
        "Microsoft.SecurityInsights/incidents/*",
        "Microsoft.SecurityInsights/entities/runPlaybook/action",
        "Microsoft.SecurityInsights/threatIntelligence/indicators/appendTags/action",
        "Microsoft.SecurityInsights/threatIntelligence/indicators/query/action",
        "Microsoft.SecurityInsights/threatIntelligence/bulkTag/action",
        "Microsoft.SecurityInsights/threatIntelligence/indicators/appendTags/action",
        "Microsoft.SecurityInsights/threatIntelligence/indicators/replaceTags/action",
        "Microsoft.SecurityInsights/threatIntelligence/queryIndicators/action",
        "Microsoft.SecurityInsights/businessApplicationAgents/systems/undoAction/action",
        "Microsoft.OperationalInsights/workspaces/analytics/query/action",
        "Microsoft.OperationalInsights/workspaces/*/read",
        "Microsoft.OperationalInsights/workspaces/dataSources/read",
        "Microsoft.OperationalInsights/workspaces/savedSearches/read",
        "Microsoft.OperationsManagement/solutions/read",
        "Microsoft.OperationalInsights/workspaces/query/read",
        "Microsoft.OperationalInsights/workspaces/query/*/read",
        "Microsoft.OperationalInsights/workspaces/dataSources/read",
        "Microsoft.OperationalInsights/querypacks/*/read",
        "Microsoft.Insights/workbooks/read",
        "Microsoft.Insights/myworkbooks/read",
        "Microsoft.Authorization/*/read",
        "Microsoft.Insights/alertRules/*",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Support/*"
      ],
      "notActions": [
        "Microsoft.SecurityInsights/cases/*/Delete",
        "Microsoft.SecurityInsights/incidents/*/Delete",
        "Microsoft.SecurityInsights/ConfidentialWatchlists/*",
        "Microsoft.OperationalInsights/workspaces/query/ConfidentialWatchlist/*"
      ],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "Microsoft Sentinel Responder",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Säkerhetsadministratör

Visa och uppdatera behörigheter för Microsoft Defender för molnet. Samma behörigheter som rollen Säkerhetsläsare och kan även uppdatera säkerhetsprincipen och avvisa aviseringar och rekommendationer.

Information om Microsoft Defender för IoT finns i Azure-användarroller för OT- och Enterprise IoT-övervakning.

Läs mer

Åtgärder	Beskrivning
Microsoft.Authorization/*/read	Läsa roller och rolltilldelningar
Microsoft.Authorization/policyAssignments/*	Skapa och hantera principtilldelningar
Microsoft.Authorization/policyDefinitions/*	Skapa och hantera principdefinitioner
Microsoft.Authorization/policyExemptions/*	Skapa och hantera principundantag
Microsoft.Authorization/policySetDefinitions/*	Skapa och hantera principuppsättningar
Microsoft.Insights/alertRules/*	Skapa och hantera en klassisk måttavisering
Microsoft.Management/managementGroups/read	Lista hanteringsgrupper för den autentiserade användaren.
Microsoft.operationalInsights/workspaces/*/read	Visa logganalysdata
Microsoft.Resources/deployments/*	Skapa och hantera en distribution
Microsoft.Resources/subscriptions/resourceGroups/read	Hämtar eller listar resursgrupper.
Microsoft.Security/*	Skapa och hantera säkerhetskomponenter och principer
Microsoft.IoTSecurity/*
Microsoft.IoTFirmwareDefense/*
Microsoft.Support/*	Skapa och uppdatera ett supportärende
NotActions
ingen
DataActions
ingen
NotDataActions
ingen

{
  "assignableScopes": [
    "/"
  ],
  "description": "Security Admin Role",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/fb1c8493-542b-48eb-b624-b4c8fea62acd",
  "name": "fb1c8493-542b-48eb-b624-b4c8fea62acd",
  "permissions": [
    {
      "actions": [
        "Microsoft.Authorization/*/read",
        "Microsoft.Authorization/policyAssignments/*",
        "Microsoft.Authorization/policyDefinitions/*",
        "Microsoft.Authorization/policyExemptions/*",
        "Microsoft.Authorization/policySetDefinitions/*",
        "Microsoft.Insights/alertRules/*",
        "Microsoft.Management/managementGroups/read",
        "Microsoft.operationalInsights/workspaces/*/read",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Security/*",
        "Microsoft.IoTSecurity/*",
        "Microsoft.IoTFirmwareDefense/*",
        "Microsoft.Support/*"
      ],
      "notActions": [],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "Security Admin",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Deltagare i säkerhetsutvärdering

Gör att du kan skicka utvärderingar till Microsoft Defender för molnet

Åtgärder	beskrivning
Microsoft.Security/assessments/write	Skapa eller uppdatera säkerhetsutvärderingar för din prenumeration
NotActions
ingen
DataActions
ingen
NotDataActions
ingen

{
  "assignableScopes": [
    "/"
  ],
  "description": "Lets you push assessments to Security Center",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/612c2aa1-cb24-443b-ac28-3ab7272de6f5",
  "name": "612c2aa1-cb24-443b-ac28-3ab7272de6f5",
  "permissions": [
    {
      "actions": [
        "Microsoft.Security/assessments/write"
      ],
      "notActions": [],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "Security Assessment Contributor",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Security Manager (äldre)

Det här är en äldre roll. Använd säkerhetsadministratören i stället.

Åtgärder	Beskrivning
Microsoft.Authorization/*/read	Läsa roller och rolltilldelningar
Microsoft.ClassicCompute/*/read	Läsa konfigurationsinformation för klassiska virtuella datorer
Microsoft.ClassicCompute/virtualMachines/*/write	Skrivkonfiguration för klassiska virtuella datorer
Microsoft.ClassicNetwork/*/read	Läs konfigurationsinformation om klassiskt nätverk
Microsoft.Insights/alertRules/*	Skapa och hantera en klassisk måttavisering
Microsoft.ResourceHealth/availabilityStatuses/read	Hämtar tillgänglighetsstatusar för alla resurser i det angivna omfånget
Microsoft.Resources/deployments/*	Skapa och hantera en distribution
Microsoft.Resources/subscriptions/resourceGroups/read	Hämtar eller listar resursgrupper.
Microsoft.Security/*	Skapa och hantera säkerhetskomponenter och principer
Microsoft.Support/*	Skapa och uppdatera ett supportärende
NotActions
ingen
DataActions
ingen
NotDataActions
ingen

{
  "assignableScopes": [
    "/"
  ],
  "description": "This is a legacy role. Please use Security Administrator instead",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/e3d13bf0-dd5a-482e-ba6b-9b8433878d10",
  "name": "e3d13bf0-dd5a-482e-ba6b-9b8433878d10",
  "permissions": [
    {
      "actions": [
        "Microsoft.Authorization/*/read",
        "Microsoft.ClassicCompute/*/read",
        "Microsoft.ClassicCompute/virtualMachines/*/write",
        "Microsoft.ClassicNetwork/*/read",
        "Microsoft.Insights/alertRules/*",
        "Microsoft.ResourceHealth/availabilityStatuses/read",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Security/*",
        "Microsoft.Support/*"
      ],
      "notActions": [],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "Security Manager (Legacy)",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Säkerhetsläsare

Visa behörigheter för Microsoft Defender för molnet. Kan visa rekommendationer, aviseringar, en säkerhetsprincip och säkerhetstillstånd, men kan inte göra ändringar.

Information om Microsoft Defender för IoT finns i Azure-användarroller för OT- och Enterprise IoT-övervakning.

Läs mer

Åtgärder	Beskrivning
Microsoft.Authorization/*/read	Läsa roller och rolltilldelningar
Microsoft.Insights/alertRules/read	Läsa en klassisk måttavisering
Microsoft.operationalInsights/workspaces/*/read	Visa logganalysdata
Microsoft.Resources/deployments/*/read
Microsoft.Resources/subscriptions/resourceGroups/read	Hämtar eller listar resursgrupper.
Microsoft.Security/*/read	Läsa säkerhetskomponenter och principer
Microsoft.IoTSecurity/*/read
Microsoft.Support/*/read
Microsoft.Security/iotDefenderSettings/packageDownloads/action	Hämtar nedladdningsbar information om IoT Defender-paket
Microsoft.Security/iotDefenderSettings/downloadManagerActivation/action	Ladda ned aktiveringsfilen för hanteraren med prenumerationskvotdata
Microsoft.Security/iotSensors/downloadResetPassword/action	Laddar ned återställning av lösenordsfil för IoT-sensorer
Microsoft.IoTSecurity/defenderSettings/packageDownloads/action	Hämtar nedladdningsbar information om IoT Defender-paket
Microsoft.IoTSecurity/defenderSettings/downloadManagerActivation/action	Ladda ned aktiveringsfilen för hanteraren
Microsoft.Management/managementGroups/read	Lista hanteringsgrupper för den autentiserade användaren.
NotActions
ingen
DataActions
ingen
NotDataActions
ingen

{
  "assignableScopes": [
    "/"
  ],
  "description": "Security Reader Role",
  "id": "/providers/Microsoft.Authorization/roleDefinitions/39bc4728-0917-49c7-9d2c-d95423bc2eb4",
  "name": "39bc4728-0917-49c7-9d2c-d95423bc2eb4",
  "permissions": [
    {
      "actions": [
        "Microsoft.Authorization/*/read",
        "Microsoft.Insights/alertRules/read",
        "Microsoft.operationalInsights/workspaces/*/read",
        "Microsoft.Resources/deployments/*/read",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Security/*/read",
        "Microsoft.IoTSecurity/*/read",
        "Microsoft.Support/*/read",
        "Microsoft.Security/iotDefenderSettings/packageDownloads/action",
        "Microsoft.Security/iotDefenderSettings/downloadManagerActivation/action",
        "Microsoft.Security/iotSensors/downloadResetPassword/action",
        "Microsoft.IoTSecurity/defenderSettings/packageDownloads/action",
        "Microsoft.IoTSecurity/defenderSettings/downloadManagerActivation/action",
        "Microsoft.Management/managementGroups/read"
      ],
      "notActions": [],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  "roleName": "Security Reader",
  "roleType": "BuiltInRole",
  "type": "Microsoft.Authorization/roleDefinitions"
}

Nästa steg

Tilldela Azure-roller med hjälp av Azure-portalen

Dela via

Inbyggda Azure-roller för säkerhet

Administratör för appefterlevnadsautomatisering

Automation-läsare för appefterlevnad

Attesteringsdeltagare

Attesteringsläsare

Key Vault-administratör

Key Vault-certifikatanvändare

Key Vault Certificates Officer

Key Vault-deltagare

Key Vault Crypto Officer

Krypteringsanvändare för Key Vault Crypto Service

Key Vault Crypto Service Release User

Key Vault Crypto-användare

Key Vault-administratör för dataåtkomst

Key Vault-läsare

Key Vault Secrets Officer

Nyckelvalvshemlighetsanvändare

Hanterad HSM-deltagare

Microsoft Sentinel Automation-deltagare

Microsoft Sentinel-deltagare

Microsoft Sentinel-spelboksoperator

Microsoft Sentinel-läsare

Microsoft Sentinel-svarare

Säkerhetsadministratör

Deltagare i säkerhetsutvärdering

Security Manager (äldre)

Säkerhetsläsare

Nästa steg

Feedback

Ytterligare resurser