Azure rol atama yönetimini koşulları olan diğer kişilere devretme

  • Makale

Yönetici olarak, başka birine temsilci olarak atamak istediğiniz Azure kaynaklarına erişim izni vermek için çeşitli istekler alabilirsiniz. Kullanıcıya Sahip veya Kullanıcı Erişimi Yönetici istrator rolleri atayabilirsiniz, ancak bunlar yüksek ayrıcalıklı rollerdir. Bu makalede, rol ataması yönetimini kuruluşunuzdaki diğer kullanıcılara devretmenin daha güvenli bir yolu açıklanır, ancak bu rol atamaları için kısıtlamalar eklenir. Örneğin, atanabilecek rolleri kısıtlayabilir veya rollerin atanabileceği sorumluları kısıtlayabilirsiniz.

Aşağıdaki diyagramda, koşulları olan bir temsilcinin Yalnızca Pazarlama veya Satış gruplarına Yedekleme Katkıda Bulunanı veya Yedekleme Okuyucusu rollerini nasıl atayabileceği gösterilmektedir.

Diagram that shows an administrator delegating role assignment management with conditions.

Önkoşullar

Azure rollerini atamak için şunlar gereklidir:

1. Adım: Temsilcinin ihtiyaç duyduğu izinleri belirleme

Temsilcinin ihtiyaç duyduğu izinleri belirlemeye yardımcı olmak için aşağıdaki soruları yanıtlayın:

  • Temsilci hangi rolleri atayabilir?
  • Temsilci hangi tür sorumlulara rol atayabilir?
  • Temsilci hangi sorumlulara rol atayabilir?
  • Temsilci herhangi bir rol atamasını kaldırabilir mi?

Temsilcinin ihtiyaç duyduğu izinleri öğrendiğiniz zaman, temsilcinin rol atamasına bir koşul eklemek için aşağıdaki adımları kullanırsınız. Örneğin koşullar için bkz . Azure rol atama yönetimine koşullarla temsilci seçme örnekleri.

2. Adım: Yeni rol ataması başlatma

  1. Azure Portal’ında oturum açın.

  2. Rol ataması ekle sayfasını açmak için adımları izleyin.

  3. Roller sekmesinde Ayrıcalıklı yönetici rolleri sekmesini seçin.

  4. Rol Tabanlı Erişim Denetimi Yönetici istrator rolünü seçin.

    Koşullar sekmesi görüntülenir.

    Kullanıcı Erişimi Yönetici istrator gibi veya Microsoft.Authorization/roleAssignments/delete eylemlerini Microsoft.Authorization/roleAssignments/write içeren herhangi bir rolü seçebilirsiniz, ancak Rol Tabanlı Erişim Denetimi Yönetici istrator'ın daha az izni vardır.

  5. Üyeler sekmesinde temsilciyi bulun ve seçin.

3. Adım: Koşul ekleme

Koşul eklemenin iki yolu vardır. Bir koşul şablonu veya gelişmiş koşul düzenleyicisi kullanabilirsiniz.

  1. Koşullar sekmesinde, Kullanıcının yapabilecekleri altında, Kullanıcının yalnızca seçili rolleri seçili sorumlulara atamasına izin ver (daha az ayrıcalık) seçeneğini belirleyin.

    Screenshot of Add role assignment with the constrained option selected.

  2. Rolleri ve sorumluları seçin'i seçin.

    Rol ataması koşulu ekle sayfası, koşul şablonlarının listesiyle birlikte görüntülenir.

    Screenshot of Add role assignment condition with a list of condition templates.

  3. Bir koşul şablonu seçin ve ardından Yapılandır'ı seçin.

    Koşul şablonu Şu şablonu seçin:
    Rolleri kısıtlama Kullanıcının yalnızca seçtiğiniz rolleri atamasına izin ver
    Rolleri ve sorumlu türlerini kısıtlama Kullanıcının yalnızca seçtiğiniz rolleri atamasına izin ver
    Kullanıcının bu rolleri yalnızca seçtiğiniz sorumlu türlerine atamasına izin ver (kullanıcılar, gruplar veya hizmet sorumluları)
    Rolleri ve sorumluları kısıtlama Kullanıcının yalnızca seçtiğiniz rolleri atamasına izin ver
    Kullanıcının bu rolleri yalnızca seçtiğiniz sorumlulara atamasına izin ver

  4. Yapılandır bölmesinde gerekli yapılandırmaları ekleyin.

    Screenshot of configure pane for a condition with selection added.

  5. Koşulu rol atamasına eklemek için Kaydet'i seçin.

4. Adım: Temsilciye koşullu rol atama

  1. Gözden geçir + ata sekmesinde rol ataması ayarlarını gözden geçirin.

  2. Rolü atamak için Gözden geçir + ata öğesini seçin.

    Birkaç dakika sonra temsilciye rol atama koşullarınızla birlikte Rol Tabanlı Erişim Denetimi Yönetici istrator rolü atanır.

5. Adım: Temsilci, koşullara sahip roller atar

  • Temsilci artık rolleri atamak için adımları izleyebilir.

    Diagram of role assignments constrained to specific roles and specific groups.

    Temsilci Azure portalında rol atamaya çalıştığında, rol listesi yalnızca atayabilecekleri rolleri gösterecek şekilde filtrelenir.

    Screenshot of role assignments constrained to specific roles.

    Sorumlular için bir koşul varsa, atama için kullanılabilen sorumluların listesi de filtrelenir.

    Screenshot of role assignments constrained to specific groups.

    Temsilci API kullanarak koşulların dışında bir rol atamayı denerse rol ataması hatayla başarısız olur. Daha fazla bilgi için bkz . Belirti - Rol atanamadı.

Sonraki adımlar