共用方式為


將 Azure 角色指派管理委派給有條件的其他人

身為系統管理員,您可能會收到數個要求,以授與您想要委派給其他人的 Azure 資源存取權。 您可以將擁有者使用者存取權指派給使用者,管理員 istrator 角色,但這些角色是高度特殊許可權的角色。 本文說明將角色指派管理委派給組織中其他使用者的更安全方式,但新增這些角色指派的限制。 例如,您可以限制可指派的角色,或限制可指派角色的主體。

下圖顯示具有條件的委派如何只將備份參與者或備份讀取者角色指派給行銷或銷售群組。

顯示系統管理員以條件委派角色指派管理的圖表。

必要條件

若要指派 Azure 角色,您必須具備:

步驟 1:判斷委派所需的許可權

若要協助判斷委派所需的許可權,請回答下列問題:

  • 委派可以指派哪些角色?
  • 委派可以將角色指派給何種類型?
  • 委派可以指派角色給哪些主體?
  • 委派是否可以移除任何角色指派?

一旦您知道委派所需的許可權,您可以使用下列步驟,將條件新增至委派的角色指派。 如需範例條件,請參閱 使用條件委派 Azure 角色指派管理的範例。

步驟 2:啟動新的角色指派

  1. 登入 Azure 入口網站

  2. 請依照步驟開啟 [新增角色指派] 頁面

  3. 在 [ 角色] 索引標籤上,選取 [ 特殊許可權系統管理員角色] 索引標籤

  4. 選取角色型 存取控制 管理員 istrator 角色。

    [條件] 索引標籤隨即出現。

    您可以選取包含 Microsoft.Authorization/roleAssignments/writeMicrosoft.Authorization/roleAssignments/delete 動作的任何角色,例如使用者存取 管理員 istrator,但角色型 存取控制 管理員 istrator 的許可權較少。

  5. 在 [ 成員] 索引標籤上,尋找並選取委派。

步驟 3:新增條件

有兩種方式可以新增條件。 您可以使用條件範本,或使用進階條件編輯器。

  1. [使用者可以執行的動作] 下的 [條件] 索引標籤上,選取 [允許使用者只將選取的角色指派給選取的主體 (權限較少)] 選項。

    已選取限制選項的 [新增角色指派] 螢幕快照。

  2. 選取 [ 選取角色和主體]。

    [新增角色指派條件] 頁面隨即出現,其中包含條件範本清單。

    新增角色指派條件與條件範本清單的螢幕快照。

  3. 選取條件範本,然後選取 [ 設定]。

    條件範本 選取此範本
    限制角色 允許使用者只指派您選取的角色
    限制角色和主體類型 允許使用者只指派您選取的角色
    允許使用者只將這些角色指派給您選取的主體類型(使用者、群組或服務主體)
    限制角色和主體 允許使用者只指派您選取的角色
    允許使用者只將這些角色指派給您選取的主體
    允許特定角色以外的所有角色 允許使用者指派您選取的角色以外的所有角色
  4. 在 [設定] 窗格中,新增必要的組態。

    已新增選取專案之條件的 [設定] 窗格螢幕快照。

  5. 選取 [ 儲存 ] 以將條件新增至角色指派。

步驟 4:將具有條件的角色指派給委派

  1. 在 [檢閱 + 指派] 索引標籤上,檢閱角色指派設定。

  2. 選取 [檢閱 + 指派] 以指派角色。

    幾分鐘后,委派會指派角色型 存取控制 管理員 istrator 角色,並具有您的角色指派條件。

步驟 5:委派會指派具有條件的角色

  • 委派現在可以遵循步驟來 指派角色

    受限於特定角色和特定群組的角色指派圖表。

    當委派嘗試在 Azure 入口網站 中指派角色時,將會篩選角色清單,只顯示他們可以指派的角色。

    受限於特定角色的角色指派螢幕快照。

    如果主體有條件,也會篩選可用於指派的主體清單。

    受限於特定群組的角色指派螢幕快照。

    如果委派嘗試使用 API 指派超出條件的角色,則角色指派會失敗,併發生錯誤。 如需詳細資訊,請參閱 徵兆 - 無法指派角色

編輯條件

有兩種方式可以編輯條件。 您可以使用條件範本,或使用條件編輯器。

  1. 在 [Azure 入口網站] 中,開啟角色指派的訪問控制 (IAM) 頁面,其中包含您想要檢視、編輯或刪除的條件。

  2. 選取 [ 角色指派] 索引 標籤並尋找角色指派。

  3. 在 [條件] 數據行中,選取 [檢視/編輯]。

    如果您沒有看到 [檢視/編輯 ] 連結,請務必查看與角色指派相同的範圍。

    具有條件檢視/編輯連結的角色指派清單螢幕快照。

    [ 新增角色指派條件 ] 頁面隨即出現。 此頁面會根據條件是否符合現有的範本而有所不同。

  4. 如果條件符合現有的範本,請選取 [ 設定 ] 以編輯條件。

    已啟用相符範本的條件範本螢幕快照。

  5. 如果條件不符合現有的範本,請使用進階條件編輯器來編輯條件。

    例如,若要編輯條件,請向下卷動至組建表達式區段,並更新屬性、運算元或值。

    顯示編輯組建表達式之選項之條件編輯器的螢幕快照。

    若要直接編輯條件,請選取 [ 程式代碼 編輯器類型],然後編輯條件的程序代碼。

    顯示程式代碼編輯器類型之條件編輯器的螢幕快照。

  6. 完成後,按兩下 [ 儲存 ] 以更新條件。

下一步