Azure Batch hizmeti için rol tabanlı erişim kontrolü

Azure Batch Hizmeti, Azure Batch hesabına farklı izin seviyeleri sağlayan bir dizi yerleşik Azure rolünü destekler. Azure kaynaklarına bireysel erişimi yönetmek için bir yetkilendirme sistemi olan Azure rol tabanlı erişim kontrolü (Azure RBAC) kullanarak, Batch hesabınızla etkileşime girmesi gereken kullanıcılar, hizmet sorumluları veya diğer kimliklere belirli izinler atayabilirsiniz. Özel kullanım senaryonuzu uyarlayan özel, ayrıntılı izinlerle özel roller de atayabilirsiniz .

Note

Tüm RBAC (hem yerleşik hem de özel) rolleri Batch paylaşılan anahtar kimlik bilgileri için değil, Microsoft Entra Id tarafından kimliği doğrulanmış kullanıcılara yöneliktir. Batch paylaşılan anahtar kimlik bilgileri, Batch hesabına tam yetki verir.

Azure RBAC'ı Ata

tr-TR: Bir kullanıcıya, gruba, hizmet sorumlusuna veya yönetilen kimliğe Azure RBAC rolü atamak için bu adımları izleyin. Detaylı adımlar için, Azure portalını kullanarak Azure rolleri atama bölümüne bakın.

  1. Azure portalında, belirli Batch hesabınıza gidin.

    Tip

    Azure RBAC'yi tüm kaynak grupları, abonelikler veya yönetim grupları için de kurabilirsiniz. İstenilen kapsam seviyesini seçerek ve ardından istenilen öğeye giderek bunu yapın. Örneğin, Kaynak gruplarını seçmek ve ardından belirli bir kaynak grubuna gitmek.

  2. Sol gezinti bölmesinden Erişim denetimi (IAM) öğesini seçin.

  3. Erişim denetimi (IAM) sayfasında Rol ataması ekle'yi seçin.

  4. Rol atamasını ekle sayfasında, Rol sekmesini seçin ve ardından Azure Batch yerleşik RBAC rolleri'nden birini seçin.

  5. Üyeler sekmesini seçin ve Üyeler altında Üyeleri seç seçeneğini seçin.

  6. Üyeleri Seç ekranında bir kullanıcı, grup, hizmet sorumlusu veya yönetilen kimlik arayın ve seçin, ardından Seç'i seçin.

    Note

    Azure Batch hizmetlerini hizmet sorumlusu ile doğrulamak için bir uygulama yapılandırırken, Azure Batch hesabına erişim ve izinlerini yapılandırmak amacıyla burada uygulamanızı arayın ve seçin.

  7. Rol ataması ekle sayfasında Gözden geçir + ata seçeneğini seçin.

Hedef kimlik artık Batch hesabının Erişim denetimi (IAM) sayfasının Rol atamaları sekmesinde görünmelidir.

Azure Batch yerleşik RBAC rolleri

Azure Batch'in yaygın kullanıcı senaryolarını ele almak için önceden tanımlanmış bazı rolleri vardır ve Azure Batch hesabındaki uygun erişim düzeylerinin belirli görevleri için bir kimliğe verimli bir şekilde atanabilmesini sağlar.

Yerleşik rol Açıklama ID
Azure Yığın Hesap Katkıcısı Tüm Batch kaynaklarını, Batch hesapları, havuzlar ve işler dahil olmak üzere yönetme erişimini tamamen sağlar. 29fe4964-1e60-436b-bd3a-77fd4c178b3c
Azure Batch Hesap Okuyucusu Batch hesabındaki havuzlar ve işler de dahil olmak üzere tüm kaynakları görüntülemenizi sağlar. 11076f67-66f6-4be0-8f6b-f0609fd05cc9
Azure Batch Veri Katkıda Bulunanı Batch havuzlarını ve işlerini yönetme izinleri verir, ancak hesapları değiştirme izni vermez. 6aaa78f1-f7de-44ca-8722-c64a23943cae
Azure Batch İşi Göndericisi Batch hesabında işler göndermenizi ve yönetmenizi sağlar. 48e5e92e-a480-4e71-aa9c-2778f4c13781
İzinler Azure Batch Hesabı Katkıda Bulunanı Azure Batch Hesap Okuyucu Azure Yığın Veri Katkıda Bulunan Azure Toplu İş Gönderici
Batch hesaplarını listeleyin veya bir Batch hesabının özelliklerini görüntüleyin. ✓ ✓ ✓
Batch hesabı oluşturun, güncelleyin veya silin. ✓
Batch hesabı için erişim anahtarlarını listeleme ✓
Bir Yığın hesabı için erişim anahtarlarını yeniden oluşturun ✓
Batch hesabındaki uygulama ve uygulama paketlerinin özelliklerini listeleme veya görüntüleme ✓ ✓ ✓ ✓
Batch hesabında uygulamaları ve uygulama paketlerini oluşturun, güncelleyin veya silin. ✓ ✓
Batch hesabındaki sertifikaların özelliklerini listele veya görüntüle ✓ ✓ ✓
Batch hesabında sertifikalar oluşturun, güncelleyin veya silin. ✓ ✓
Havuzların veya bir Batch hesabındaki havuzların özelliklerini listeleyin veya görüntüleyin. ✓ ✓ ✓ ✓
Bir Batch hesabında havuzlar oluşturun, güncelleyin veya silin. ✓ ✓
Toplu hesapta işlerin özelliklerini listele veya görüntüle ✓ ✓ ✓ ✓
Batch hesabında işleri oluşturun, güncelleyin veya silin. ✓ ✓ ✓
Batch hesabında iş zamanlamalarının özelliklerini listeleme veya görüntüleme ✓ ✓ ✓ ✓
Batch hesabında iş zamanlamaları oluşturma, güncelleştirme veya silme ✓ ✓ ✓

Uyarı

Batch hesap sertifikası özelliği kaldırıldı.

Azure Batch Hesabı Katkıda Bulunanı

Tüm Batch kaynaklarını, Batch hesapları, havuzlar ve işler dahil olmak üzere yönetme erişimini tamamen sağlar.

Eylemler Açıklama
Microsoft.Authorization/*/read Rolleri ve rol atamalarını okuyun.
Microsoft.Insights/alertRules/* Klasik bir metrik uyarısı oluşturun ve yönetin.
Microsoft.Resources/deployments/* Bir dağıtım oluşturun ve yönetin.
Microsoft.Resources/subscriptions/resourceGroups/read Kaynak gruplarını alır veya listeler.
Microsoft.Batch/*
NotActions
none
DataActions
Microsoft.Batch/*
NotDataActions
none 
{
    "assignableScopes": [
        "/"
    ],
    "description": "Grants full access to manage all Batch resources, including Batch accounts, pools and jobs.",
    "id": "/providers/Microsoft.Authorization/roleDefinitions/29fe4964-1e60-436b-bd3a-77fd4c178b3c",
    "permissions": [
        {
            "actions": [
                "Microsoft.Authorization/*/read",
                "Microsoft.Batch/*",
                "Microsoft.Insights/alertRules/*",
                "Microsoft.Resources/deployments/*",
                "Microsoft.Resources/subscriptions/resourceGroups/read"
            ],
            "dataActions": [
                "Microsoft.Batch/*"
            ],
            "notActions": [],
            "notDataActions": []
        }
    ],
    "roleName": "Azure Batch Account Contributor",
    "roleType": "BuiltInRole",
    "type": "Microsoft.Authorization/roleDefinitions"
}

Azure Batch Hesap Okuyucu

Batch hesabındaki havuzlar ve işler de dahil olmak üzere tüm kaynakları görüntülemenizi sağlar.

Eylemler Açıklama
Microsoft.Batch/*/read Toplu hesapta tüm kaynakları görüntüle.
Microsoft.Resources/subscriptions/resourceGroups/read Kaynak gruplarını alır veya listeler.
NotActions
none
DataActions
Microsoft.Batch/*/read Toplu hesapta tüm kaynakları görüntüle.
NotDataActions
none 
{
    "assignableScopes": [
        "/"
    ],
    "description": "Lets you view all resources including pools and jobs in the Batch account.",
    "id": "/providers/Microsoft.Authorization/roleDefinitions/11076f67-66f6-4be0-8f6b-f0609fd05cc9",
    "permissions": [
        {
            "actions": [
                "Microsoft.Batch/*/read",
                "Microsoft.Resources/subscriptions/resourceGroups/read"
            ],
            "dataActions": [
                "Microsoft.Batch/*/read"
            ],
            "notActions": [],
            "notDataActions": []
        }
    ],
    "roleName": "Azure Batch Account Reader",
    "roleType": "BuiltInRole",
    "type": "Microsoft.Authorization/roleDefinitions"
}

Azure Yığın Veri Katkıda Bulunan

Batch havuzlarını ve işlerini yönetme izinleri verir, ancak hesapları değiştirme izni vermez.

Eylemler Açıklama
Microsoft.Authorization/*/read Rolleri ve rol atamalarını okuyun.
Microsoft.Batch/batchAccounts/read Batch hesaplarını listeler veya Batch hesabının özelliklerini alır.
Microsoft.Batch/batchAccounts/applications/* Bir Batch hesabında uygulamalar ve uygulama paketlerini oluşturun ve yönetin.
Microsoft.Batch/batchAccounts/certificates/* Bir Yığın hesabında sertifikalar oluşturun ve yönetin. (Uyarı: Sertifika özelliği kullanımdan kaldırıldı)
Microsoft.Batch/batchAccounts/certificateOperationResults/* Bir Batch hesabında uzun süreli bir sertifika işleminin sonuçlarını alır. (Uyarı: Sertifika özelliği kullanımdan kaldırıldı)
Microsoft.Batch/pools/* Bir Yığın hesabında havuzları oluşturun ve yönetin.
Microsoft.Batch/poolOperationResults/* Bir Batch hesabında uzun süren bir havuz işleminin sonuçlarını alır.
Microsoft.Batch/locations/*/read Belirtilen konumda Toplu hesap işletim sonucu/Toplu kota/desteklenen VM boyutunu alın.
Microsoft.Insights/alertRules/* Klasik bir metrik uyarısı oluşturun ve yönetin.
Microsoft.Resources/deployments/* Bir dağıtım oluşturun ve yönetin.
Microsoft.Resources/subscriptions/resourceGroups/read Kaynak gruplarını alır veya listeler.
NotActions
none
DataActions
Microsoft.Batch/batchAccounts/jobSchedules/* Batch hesabında iş zamanlamaları oluşturun ve yönetin.
Microsoft.Batch/batchAccounts/jobs/* Bir Batch hesabında işler oluşturun ve yönetin.
NotDataActions
none 
{
    "assignableScopes": [
        "/"
    ],
    "description": "Grants permissions to manage Batch pools and jobs but not to modify accounts.",
    "id": "/providers/Microsoft.Authorization/roleDefinitions/6aaa78f1-f7de-44ca-8722-c64a23943cae",
    "permissions": [
        {
            "actions": [
                "Microsoft.Authorization/*/read",
                "Microsoft.Batch/batchAccounts/read",
                "Microsoft.Batch/batchAccounts/applications/*",
                "Microsoft.Batch/batchAccounts/certificates/*",
                "Microsoft.Batch/batchAccounts/certificateOperationResults/*",
                "Microsoft.Batch/batchAccounts/pools/*",
                "Microsoft.Batch/batchAccounts/poolOperationResults/*",
                "Microsoft.Batch/locations/*/read",
                "Microsoft.Insights/alertRules/*",
                "Microsoft.Resources/deployments/*",
                "Microsoft.Resources/subscriptions/resourceGroups/read"
            ],
            "dataActions": [
                "Microsoft.Batch/batchAccounts/jobSchedules/*",
                "Microsoft.Batch/batchAccounts/jobs/*"
            ],
            "notActions": [],
            "notDataActions": []
        }
    ],
    "roleName": "Azure Batch Data Contributor",
    "roleType": "BuiltInRole",
    "type": "Microsoft.Authorization/roleDefinitions"
}

Azure Toplu İş Gönderici

Batch hesabında işler göndermenizi ve yönetmenizi sağlar.

Eylemler Açıklama
Microsoft.Batch/batchAccounts/applications/read Uygulamaları listeler veya bir uygulamanın özelliklerini alır.
Microsoft.Batch/batchAccounts/applications/versions/read Bir uygulama paketinin özelliklerini alır.
Microsoft.Batch/pools/read Batch hesabında havuzları listeleyin veya bir havuzun özelliklerini alın.
Microsoft.Insights/alertRules/* Klasik bir metrik uyarısı oluşturun ve yönetin.
Microsoft.Resources/subscriptions/resourceGroups/read Kaynak gruplarını alır veya listeler.
NotActions
none
DataActions
Microsoft.Batch/batchAccounts/jobSchedules/* Batch hesabında iş zamanlamaları oluşturun ve yönetin.
Microsoft.Batch/batchAccounts/jobs/* Bir Batch hesabında işler oluşturun ve yönetin.
NotDataActions
none 
{
    "assignableScopes": [
        "/"
    ],
    "description": "Lets you submit and manage jobs in the Batch account.",
    "id": "/providers/Microsoft.Authorization/roleDefinitions/48e5e92e-a480-4e71-aa9c-2778f4c13781",
    "permissions": [
        {
            "actions": [
                "Microsoft.Batch/batchAccounts/applications/read",
                "Microsoft.Batch/batchAccounts/applications/versions/read",
                "Microsoft.Batch/batchAccounts/pools/read",
                "Microsoft.Insights/alertRules/*",
                "Microsoft.Resources/subscriptions/resourceGroups/read"
            ],
            "dataActions": [
                "Microsoft.Batch/batchAccounts/jobSchedules/*",
                "Microsoft.Batch/batchAccounts/jobs/*"
            ],
            "notActions": [],
            "notDataActions": []
        }
    ],
    "roleName": "Azure Batch Job Submitter",
    "roleType": "BuiltInRole",
    "type": "Microsoft.Authorization/roleDefinitions"
}

Özel bir rol ata

Azure Batch'in yerleşik rollerinin ihtiyaçlarınızı karşılamadığı durumlarda, kullanıcıya işleri, görevleri ve daha fazlasını göndermek için detaylı izinler vermek amacıyla Azure özel rolleri kullanılabilir. Özel bir rol kullanarak aşağıdaki Azure Batch RBAC işlemleri için bir Microsoft Entra ID'ye izin vermek veya izinleri reddetmek üzere ayarlamalar yapabilirsiniz.

  • Microsoft.Batch/batchAccounts/pools/write
  • Microsoft.Batch/batchAccounts/pools/delete
  • Microsoft.Batch/batchAccounts/pools/read
  • Microsoft.Batch/batchAccounts/jobSchedules/yaz
  • Microsoft.Batch/batchAccounts/jobSchedules/delete
  • Microsoft.Batch/batchAccounts/jobSchedules/read
  • Microsoft.Batch/batchAccounts/jobs/write
  • Microsoft.Batch/batchAccounts/jobs/delete
  • Microsoft.Batch/batchAccounts/jobs/read
  • Microsoft.Batch/batchAccounts/certificates/write
  • Microsoft.Batch/batchAccounts/certificates/delete (Uyarı: Sertifika özelliği kullanımdan kaldırıldı)
  • Microsoft.Batch/batchAccounts/certificates/read (Uyarı: Sertifika özelliği kullanımdan kaldırıldı)
  • Microsoft.Batch/batchAccounts/applications/write
  • Microsoft.Batch/batchAccounts/applications/delete
  • Microsoft.Batch/batchAccounts/applications/read
  • Microsoft.Batch/batchHesapları/uygulamalar/sürümler/yazmak
  • Microsoft.Batch/batchAccounts/applications/versions/delete
  • Microsoft.Batch/batchHesaplar/uygulamalar/sürümler/okuma
  • Herhangi bir okuma işlemi için Microsoft.Batch/batchAccounts/read
  • Microsoft.Batch/batchAccounts/listKeys/action, herhangi bir işlem için

Tip

Autopool kullanan işler, havuz düzeyinde yazma izinleri gerektirir.

Note

Belirli rol atamaları actions alanında belirtilmelidir, diğerleri ise dataActions alanında belirtilmelidir. Bir role atanan özelliklerin tam kapsamını anlamak için hem dataActions hem de actions incelemeniz gerekir. Daha fazla bilgi için Azure kaynak sağlayıcı işlemlerine bakın.

Aşağıdaki örnek, Azure Batch özel rol tanımını göstermektedir.

{
 "properties":{
    "roleName":"Azure Batch Custom Job Submitter",
    "type":"CustomRole",
    "description":"Allows a user to submit autopool jobs to Azure Batch",
    "assignableScopes":[
      "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
    ],
    "permissions":[
      {
        "actions":[
          "Microsoft.Batch/*/read",
          "Microsoft.Batch/batchAccounts/pools/write",
          "Microsoft.Batch/batchAccounts/pools/delete",
          "Microsoft.Authorization/*/read",
          "Microsoft.Resources/subscriptions/resourceGroups/read",
          "Microsoft.Support/*",
          "Microsoft.Insights/alertRules/*"
        ],
        "notActions":[

        ],
        "dataActions":[
          "Microsoft.Batch/batchAccounts/jobs/*",
          "Microsoft.Batch/batchAccounts/jobSchedules/*"
        ],
        "notDataActions":[

        ]
      }
    ]
  }
}

Sonraki adımlar

  • Last updated on