Hantera åtkomst för Microsoft Planetary Computer Pro

Den här artikeln visar hur du hanterar identiteter i Microsoft Entra-ID och hur du konfigurerar rollbaserad åtkomstkontroll (RBAC) för Microsoft Planetary Computer Pro. Med den här processen kan användaren tilldela specifika Behörigheter för GeoCatalog-resursåtkomst till Microsoft Entra-identiteter.

Förutsättningar

Skapa och hantera användare

Skapa och hantera din användarlista genom att följa artikeln skapa, bjuda in och ta bort användare med Microsoft Entra-ID. När användarna har skapats måste du ge dem rätt behörighet för att få åtkomst till en GeoCatalog-resurs med tilldelningen av en eller flera RBAC-roller.

Planetary Computer Pro definierar två GeoCatalog-resursspecifika roller, utöver inbyggda Roller i Azure:

Befattning Beskrivning Tillåter RBAC-hantering?
GeoCatalog-administratör Tillåter att användaren läser, skriver och tar bort data i en GeoCatalog Nej
GeoCatalog-läsare Tillåter att användaren endast läser GeoCatalogs-data. Nej
Ägare Inbyggd Azure-roll som ger fullständig åtkomst till alla resurser, inklusive möjligheten att hantera RBAC. Ja
Administratör för användaråtkomst Inbyggd Azure-roll som möjliggör hantering av användaråtkomst till Azure-resurser. Ja
Administratör för rollbaserad åtkomstkontroll Inbyggd Azure-roll som möjliggör hantering av RBAC-tilldelningar och behörigheter. Ja

Anmärkning

Ägaren är också GeoCatalog-administratör.

Översikt över autentisering och auktorisering

Innan en identitet kan ges behörighet via RBAC måste den först autentiseras mot Microsoft Entra ID. Autentiseringsmetoden beror på vilken typ av identitet som kommer åt din GeoCatalog:

Identitetstyp Autentiseringsmetod Auktorisera sedan med
Användare (portal, CLI, Explorer) Interaktiv inloggning (az login eller webbläsare OAuth2) RBAC-roller som tilldelats i den här artikeln
Hanterad identitet (appar på Azure) Automatisk token via Azure infrastruktur RBAC-roller som tilldelats i den här artikeln
Tjänsthuvudnamn (appar utanför Azure) Klienthemlighet/certifikat via appregistrering i Entra RBAC-roller som tilldelas i denna artikel

Alla åtgärder i GeoCatalogs kontrollplan och dataplan kräver en giltig OAuth2-bearer-token med behörighetsomfånget user_impersonation. Detaljerad konfiguration per scenario finns i Konfigurera programautentisering. Mer information om Azure RBAC-begrepp finns i Azure översikt över rollbaserad åtkomstkontroll.

Tilldela rollbaserad åtkomstkontroll till en användare

Du kan använda Azure-portalen för att tilldela RBAC-roller till Planetary Computer Pro-användare. Det här avsnittet visar hur du använder IAM-kontrollerna ( GeoCatalog Access Control) för att tilldela rollen GeoCatalog-administratör till en eller flera användare.

  1. I Azure-portalen går du till fliken Åtkomstkontroll för GeoCatalog-resurs (IAM) i det vänstra sidofältet:

    Skärmbild av IAM-bladet i Azure-portalen för att konfigurera RBAC.

  2. Välj Lägg till>Lägg till rolltilldelning.

  3. Välj GeoCatalog-administratör i listan över jobbfunktionsroller och välj sedan knappen Nästa längst ned på sidan:

    Skärmbild som visar alternativen för RBAC-rolltilldelning i Azure-portalen.

  4. Välj radioknappen för Användare, grupp eller tjänstens principal:

    Skärmbild som visar avsnittet medlemmar under RBAC-rolltilldelningen i Azure-portalen.

  5. Välj Välj medlemmar

  6. Sök efter användaren i fönstret Välj medlemmar som visas till höger. Välj ett namn eller en identitet i listan för att lägga till det i listan över valda medlemmar. Upprepa det här steget för var och en av de användare som behöver tilldelas den här rollen.

  7. När alla användare som du behöver tilldela den här rollen för är markerade använder du knappen Välj längst ned i fönstret för att stänga fönstret.

  8. Välj Nästa längst ned på sidan.

  9. Verifiera informationen och slutför sedan tilldelningen genom att välja granska + tilldela.

Nu kan de valda användarna komma åt GeoCatalog-resursen, antingen via Azure-portalen eller API:er.

Tilldela roller med hjälp av Azure CLI

Du kan också tilldela RBAC-roller med hjälp av Azure CLI, som anropar ARM-kontrollplanets API (Microsoft.Authorization/roleAssignments).

Tilldela en roll

# Define variables
SUBSCRIPTION_ID="{your-subscription-id}"
RESOURCE_GROUP="{your-resource-group}"
GEOCATALOG_NAME="{your-geocatalog-name}"
ASSIGNEE_OBJECT_ID="{user-or-service-principal-object-id}"

# GeoCatalog Administrator role definition ID
ROLE_DEFINITION_ID="$(az role definition list --name "GeoCatalog Administrator" --query "[0].id" -o tsv)"

# Assign the role scoped to the GeoCatalog resource
az role assignment create \
  --assignee-object-id "$ASSIGNEE_OBJECT_ID" \
  --role "$ROLE_DEFINITION_ID" \
  --scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME"

Ta bort en rolltilldelning

az role assignment delete \
  --assignee "$ASSIGNEE_OBJECT_ID" \
  --role "GeoCatalog Administrator" \
  --scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME"

Lista rolltilldelningar för en GeoCatalog

az role assignment list \
  --scope "/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Orbital/geoCatalogs/$GEOCATALOG_NAME" \
  --output table

Relaterat innehåll

  • Uppdaterades senast