你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站,请访问 https://docs.azure.cn。
关于 VPN 的角色和权限
VPN 在创建和管理操作中会使用多个资源,例如虚拟网络和 IP 地址。 因此,在执行这些操作期间,应验证所有相关资源的权限,这一点至关重要。
可以选择将 Azure 内置角色分配给用户、组、服务主体或托管标识,例如网络参与者,这些角色支持创建网关所需的所有权限。 有关详细信息,请参阅分配 Azure 角色的步骤。
如果 Azure 内置角色不满足组织的特定需求,你可以创建自己的自定义角色。 与内置角色一样,可将自定义角色分配到管理组、订阅和资源组范围内的用户、组与服务主体。 有关详细信息,请参阅创建自定义表的步骤。
若要确保正常运行,请检查自定义角色权限,以确认用户服务主体和运行 VPN 网关的托管标识具有必要的权限。 要添加此处列出的任何缺失权限,请参阅更新自定义角色。
根据是要创建新资源还是使用现有资源,从以下列表中添加相应的权限:
资源 | 资源状态 | 必需的 Azure 权限 |
---|---|---|
子网 | 新建 | Microsoft.Network/virtualNetworks/subnets/write Microsoft.Network/virtualNetworks/subnets/join/action |
子网 | 使用现有项 | Microsoft.Network/virtualNetworks/subnets/read Microsoft.Network/virtualNetworks/subnets/join/action |
IP 地址 | 新建 | Microsoft.Network/publicIPAddresses/write Microsoft.Network/publicIPAddresses/join/action |
IP 地址 | 使用现有项 | Microsoft.Network/publicIPAddresses/read Microsoft.Network/publicIPAddresses/join/action |
本地网络网关 | 新建/ 更新现有 | Microsoft.Network/localnetworkgateways/write |
连接 | 新建/ 更新现有 | Microsoft.Network/connections/write |
Azure VPN 网关 | 新建/ 更新现有 | Microsoft.Network/localnetworkgateways/write Microsoft.Network/publicIPAddresses/join/action Microsoft.Network/virtualNetworks/subnets/join/action |
在自定义角色定义过程中,可以在四个级别指定角色分配范围:管理组、订阅、资源组和资源。 若要授予访问权限,请将角色分配给特定范围内的用户、组、服务主体或托管标识。
这些范围按父子关系结构组织,每个级别的层次结构级使范围更为具体。 可以在范围的任意级别分配角色,角色的应用范围取决于所选的级别。
例如,在订阅级别分配的角色可以级联到该订阅中的所有资源,而资源组级别分配的角色将仅适用于该特定组中的资源。 详细了解范围级别。有关详细信息,请参阅范围级别。
备注
在角色分配发生更改后,留出足够的时间进行 Azure 资源管理器缓存刷新。
如需查看其他服务的角色和权限,请访问以下链接: