使用英语阅读

通过


你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站,请访问 https://docs.azure.cn

关于 VPN 的角色和权限

VPN 在创建和管理操作中会使用多个资源,例如虚拟网络和 IP 地址。 因此,在执行这些操作期间,应验证所有相关资源的权限,这一点至关重要。

Azure 内置角色

可以选择将 Azure 内置角色分配给用户、组、服务主体或托管标识,例如网络参与者,这些角色支持创建网关所需的所有权限。 有关详细信息,请参阅分配 Azure 角色的步骤

自定义角色

如果 Azure 内置角色不满足组织的特定需求,你可以创建自己的自定义角色。 与内置角色一样,可将自定义角色分配到管理组、订阅和资源组范围内的用户、组与服务主体。 有关详细信息,请参阅创建自定义表的步骤

若要确保正常运行,请检查自定义角色权限,以确认用户服务主体和运行 VPN 网关的托管标识具有必要的权限。 要添加此处列出的任何缺失权限,请参阅更新自定义角色

权限

根据是要创建新资源还是使用现有资源,从以下列表中添加相应的权限:

资源 资源状态 必需的 Azure 权限
子网 新建 Microsoft.Network/virtualNetworks/subnets/write
Microsoft.Network/virtualNetworks/subnets/join/action
子网 使用现有项 Microsoft.Network/virtualNetworks/subnets/read
Microsoft.Network/virtualNetworks/subnets/join/action
IP 地址 新建 Microsoft.Network/publicIPAddresses/write
Microsoft.Network/publicIPAddresses/join/action
IP 地址 使用现有项 Microsoft.Network/publicIPAddresses/read
Microsoft.Network/publicIPAddresses/join/action
本地网络网关 新建/ 更新现有 Microsoft.Network/localnetworkgateways/write
连接 新建/ 更新现有 Microsoft.Network/connections/write
Azure VPN 网关 新建/ 更新现有 Microsoft.Network/localnetworkgateways/write
Microsoft.Network/publicIPAddresses/join/action
Microsoft.Network/virtualNetworks/subnets/join/action

有关详细信息,请参阅 Azure 权限虚拟网络权限

角色范围

在自定义角色定义过程中,可以在四个级别指定角色分配范围:管理组、订阅、资源组和资源。 若要授予访问权限,请将角色分配给特定范围内的用户、组、服务主体或托管标识。

这些范围按父子关系结构组织,每个级别的层次结构级使范围更为具体。 可以在范围的任意级别分配角色,角色的应用范围取决于所选的级别。

例如,在订阅级别分配的角色可以级联到该订阅中的所有资源,而资源组级别分配的角色将仅适用于该特定组中的资源。 详细了解范围级别。有关详细信息,请参阅范围级别

备注

在角色分配发生更改后,留出足够的时间进行 Azure 资源管理器缓存刷新

其他服务

如需查看其他服务的角色和权限,请访问以下链接:

后续步骤