服務連接器的權限需求
服務連接器會使用代表權杖在 Azure 服務之間建立連線。 建立特定 Azure 資源的連線需要其對應的權限。
應用程式服務
| 動作 |
描述 |
Microsoft.Web/sites/config/write |
更新 Web 應用程式的組態設定 |
Microsoft.web/sites/config/delete |
刪除 Web Apps 設定。 |
Microsoft.Web/sites/config/list/action |
列出 Web 應用程式的安全性機密設定，例如發佈認證、應用程式設定和連接字串 |
Microsoft.Web/sites/config/Read |
取得 Web 應用程式的組態設定 |
Microsoft.Web/sites/write |
建立新的 Web 應用程式，或更新現有 Web 應用程式 |
Microsoft.Web/sites/read |
取得 Web 應用程式的屬性 |
Webapp 位置
| 動作 |
描述 |
Microsoft.Web/sites/slots/Write |
建立新的 Web 應用程式位置，或更新現有的 Web 應用程式位置 |
Microsoft.Web/sites/slots/Read |
取得 Web 應用程式部署位置的屬性 |
Microsoft.Web/sites/slots/config/Read |
取得 Web 應用程式位置的組態設定 |
Microsoft.Web/sites/slots/config/Write |
更新 Web 應用程式位置的組態設定 |
microsoft.web/sites/slots/config/delete |
刪除 Web Apps 的位置設定。 |
Microsoft.Web/sites/slots/config/list/Action |
列出 Web 應用程式位置的安全性機密設定，例如發佈認證、應用程式設定和連接字串 |
Azure Spring App
| 動作 |
描述 |
Microsoft.AppPlatform/Spring/read |
取得 Azure Spring Apps 服務執行個體 |
Microsoft.AppPlatform/Spring/apps/read |
取得特定 Azure Spring Apps 服務執行個體的應用程式 |
Microsoft.AppPlatform/Spring/apps/write |
建立或更新特定 Azure Spring Apps 服務執行個體的應用程式 |
Microsoft.AppPlatform/Spring/apps/deployments/*/read |
取得特定應用程式的部署 |
Microsoft.AppPlatform/Spring/apps/deployments/*/write |
建立或更新特定應用程式的部署 |
Microsoft.AppPlatform/Spring/apps/deployments/*/delete |
刪除特定應用程式的部署 |
Azure 容器應用程式
| 動作 |
描述 |
Microsoft.App/containerApps/read |
取得容器應用程式 |
Microsoft.App/containerApps/write |
建立或更新容器應用程式 |
Microsoft.App/containerApps/listsecrets/action |
列出容器應用程式的秘密 |
Microsoft.App/managedEnvironments/read |
取得受控環境 |
Microsoft.App/locations/managedEnvironmentOperationStatuses/read |
取得受控環境長時間執行的作業狀態 |
microsoft.app/locations/containerappoperationstatuses/read |
取得容器應用程式長時間執行的作業狀態 |
microsoft.app/locations/containerappoperationresults/read |
取得容器應用程式長時間執行的作業結果 |
microsoft.app/locations/managedenvironmentoperationresults/read |
取得受控環境長時間執行的作業結果 |
Azure 容器應用程式中的 Dapr
| 動作 |
描述 |
Microsoft.App/managedEnvironments/daprComponents/read |
讀取受控環境 Dapr 元件 |
Microsoft.App/managedEnvironments/daprComponents/write |
建立或更新受控環境 Dapr 元件 |
Microsoft.App/managedEnvironments/daprComponents/delete |
刪除受控環境 Dapr 元件 |
Azure Cache for Redis
| 動作 |
描述 |
Microsoft.Cache/redis/read |
在管理入口網站中檢視 Redis 快取的設定和組態 |
Microsoft.Cache/redis/firewallRules/read |
取得 Redis 快取的 IP 防火牆規則 |
Microsoft.Cache/redis/firewallRules/write |
編輯 Redis 快取的 IP 防火牆規則 |
Microsoft.Cache/redis/firewallRules/delete |
刪除 Redis 快取的 IP 防火牆規則 |
Microsoft.Cache/redis/listKeys/action |
在管理入口網站中檢視 Redis 快取存取金鑰的值 |
Azure Cache for Redis Enterprise
| 動作 |
描述 |
Microsoft.Cache/redisEnterprise/read |
在管理入口網站中檢視 Redis Enterprise 快取的設定和組態 |
Microsoft.Cache/redisEnterprise/databases/read |
在管理入口網站中檢視 Redis Enterprise 快取資料庫的設定和組態 |
Microsoft.Cache/redisEnterprise/databases/listKeys/action |
在管理入口網站中，檢視 Redis Enterprise 資料庫存取金鑰的值 |
適用於 PostgreSQL 的 Azure 資料庫
適用於 PostgreSQL 的 Azure 資料庫
| 動作 |
描述 |
Microsoft.DBforPostgreSQL/servers/firewallRules/read |
傳回伺服器的防火牆規則清單，或取得指定防火牆規則的屬性。 |
Microsoft.DBforPostgreSQL/servers/firewallRules/write |
使用指定參數建立防火牆規則，或更新現有的規則。 |
Microsoft.DBforPostgreSQL/servers/firewallRules/delete |
刪除現有防火牆規則。 |
Microsoft.DBForPostgreSQL/servers/read |
傳回伺服器清單，或取得指定伺服器的屬性。 |
Microsoft.DBForPostgreSQL/servers/databases/read |
傳回資料庫清單，或取得指定資料庫的屬性。 |
Microsoft.DBforPostgreSQL/servers/write |
使用指定參數建立伺服器，或更新指定伺服器的屬性或標記。 |
適用於 PostgreSQL 的 Azure 資料庫 (服務端點)
| 動作 |
描述 |
Microsoft.DBforPostgreSQL/servers/virtualNetworkRules/read |
傳回虛擬網路規則的清單，或取得指定虛擬網路規則的屬性。 |
Microsoft.DBforPostgreSQL/servers/virtualNetworkRules/write |
使用指定參數建立虛擬網路規則，或更新指定虛擬網路規則的屬性或標記。 |
Microsoft.DBforPostgreSQL/servers/virtualNetworkRules/delete |
刪除現有虛擬網路規則 |
Azure PostgreSQL Database - 彈性伺服器
| 動作 |
描述 |
Microsoft.DBforPostgreSQL/flexibleServers/firewallRules/read |
傳回伺服器的防火牆規則清單，或取得指定防火牆規則的屬性。 |
Microsoft.DBforPostgreSQL/flexibleServers/firewallRules/write |
使用指定參數建立防火牆規則，或更新現有的規則。 |
Microsoft.DBforPostgreSQL/flexibleServers/firewallRules/delete |
刪除現有防火牆規則。 |
Microsoft.DBForPostgreSQL/flexibleServers/read |
傳回伺服器清單，或取得指定伺服器的屬性。 |
Microsoft.DBForPostgreSQL/flexibleServers/databases/read |
傳回 PostgreSQL 伺服器資料庫清單，或取得指定伺服器的資料庫。 |
Microsoft.DBforPostgreSQL/flexibleServers/configurations/read |
傳回 PostgreSQL 伺服器組態清單，或取得指定伺服器的組態。 |
適用於 MySQL 的 Azure 資料庫
| 動作 |
描述 |
Microsoft.DBforMySQL/servers/firewallRules/read |
傳回伺服器的防火牆規則清單，或取得指定防火牆規則的屬性。 |
Microsoft.DBforMySQL/servers/firewallRules/write |
使用指定參數建立防火牆規則，或更新現有的規則。 |
Microsoft.DBforMySQL/servers/firewallRules/delete |
刪除現有防火牆規則。 |
Microsoft.DBforMySQL/servers/read |
傳回伺服器清單，或取得指定伺服器的屬性。 |
Microsoft.DBforMySQL/servers/databases/read |
傳回 MySQL 資料庫清單，或取得指定資料庫的屬性。 |
Microsoft.DBforMySQL/servers/write |
使用指定參數建立伺服器，或更新指定伺服器的屬性或標記。 |
適用於 MySQL 的 Azure 資料庫 (服務端點)
| 動作 |
描述 |
Microsoft.DBforMySQL/servers/virtualNetworkRules/read |
傳回虛擬網路規則的清單，或取得指定虛擬網路規則的屬性。 |
Microsoft.DBforMySQL/servers/virtualNetworkRules/write |
使用指定參數建立虛擬網路規則，或更新指定虛擬網路規則的屬性或標記。 |
Microsoft.DBforMySQL/servers/virtualNetworkRules/delete |
刪除現有虛擬網路規則 |
適用於 MySQL 的 Azure 資料庫 - 彈性伺服器
| 動作 |
描述 |
Microsoft.DBforMySQL/flexibleServers/firewallRules/read |
傳回伺服器的防火牆規則清單，或取得指定防火牆規則的屬性。 |
Microsoft.DBforMySQL/flexibleServers/firewallRules/write |
使用指定參數建立防火牆規則，或更新現有的規則。 |
Microsoft.DBforMySQL/flexibleServers/firewallRules/delete |
刪除現有防火牆規則。 |
Microsoft.DBforMySQL/flexibleServers/read |
傳回伺服器清單，或取得指定伺服器的屬性。 |
Microsoft.DBforMySQL/flexibleServers/databases/read |
傳回伺服器的資料庫清單，或取得指定資料庫的屬性。 |
Microsoft.DBforMySQL/flexibleServers/configurations/read |
傳回 MySQL 伺服器組態清單，或取得指定伺服器的組態。 |
Azure 應用程式組態
| 動作 |
描述 |
Microsoft.AppConfiguration/configurationStores/ListKeys/action |
列出指定設定存放區的 API 金鑰。 |
Microsoft.AppConfiguration/configurationStores/read |
取得指定設定存放區的屬性，或列出指定資源群組或訂用帳戶下的所有設定存放區。 |
Azure 事件中樞
| 動作 |
描述 |
Microsoft.EventHub/namespaces/read |
取得命名空間資源描述的清單 |
Microsoft.EventHub/namespaces/ipFilterRules/read |
取得 IP 篩選資源 |
Microsoft.EventHub/namespaces/ipFilterRules/write |
建立 IP 篩選資源 |
Microsoft.EventHub/namespaces/ipFilterRules/delete |
刪除 IP 篩選資源 |
Microsoft.EventHub/namespaces/networkrulesets/read |
取得 NetworkRuleSet 資源 |
Microsoft.EventHub/namespaces/networkrulesets/write |
建立 VNET 規則資源 |
Microsoft.EventHub/namespaces/authorizationRules/listkeys/action |
取得命名空間的連接字串 |
Azure 服務匯流排
| 動作 |
描述 |
Microsoft.ServiceBus/namespaces/read |
取得命名空間資源描述的清單 |
Microsoft.ServiceBus/namespaces/ipFilterRules/read |
取得 IP 篩選資源 |
Microsoft.ServiceBus/namespaces/ipFilterRules/write |
建立 IP 篩選資源 |
Microsoft.ServiceBus/namespaces/ipFilterRules/delete |
刪除 IP 篩選資源 |
Microsoft.ServiceBus/namespaces/authorizationRules/listkeys/action |
取得命名空間的連接字串 |
Microsoft.ServiceBus/namespaces/networkrulesets/read |
取得 NetworkRuleSet 資源 |
Microsoft.ServiceBus/namespaces/networkrulesets/write |
建立 VNET 規則資源 |
Azure Blob 儲存體
| 動作 |
描述 |
Microsoft.Storage/storageAccounts/read |
傳回儲存體帳戶的清單，或取得指定之儲存體帳戶的屬性。 |
Microsoft.Storage/storageAccounts/write |
使用指定參數來建立儲存體帳戶、更新指定儲存體帳戶的屬性或標記，或新增指定儲存體帳戶的自訂網域。 |
Microsoft.Storage/storageAccounts/listkeys/action |
傳回指定儲存體帳戶的存取金鑰。 |
Azure SignalR Service
| 動作 |
描述 |
Microsoft.SignalRService/SignalR/read |
在管理入口網站中或透過 API 檢視 SignalR 的設定和組態 |
Microsoft.SignalRService/SignalR/write |
在管理入口網站中或透過 API 修改 SignalR 的設定和組態 |
Microsoft.SignalRService/locations/operationresults/signalr/read |
查詢以位置為基礎的非同步作業結果 |
Microsoft.SignalRService/locations/operationStatuses/signalr/read |
查詢以位置為基礎的非同步作業狀態 |
Microsoft.SignalRService/SignalR/operationResults/read |
|
Microsoft.SignalRService/SignalR/operationStatuses/read |
|
Microsoft.SignalRService/SignalR/listkeys/action |
在管理入口網站中或透過 API 檢視 SignalR 存取金鑰 |
Azure Web PubSub 服務
| 動作 |
描述 |
Microsoft.SignalRService/WebPubSub/read |
在管理入口網站中或透過 API 檢視 WebPubSub 的設定和組態 |
Microsoft.SignalRService/WebPubSub/write |
在管理入口網站中或透過 API 修改 WebPubSub 的設定和組態 |
Microsoft.SignalRService/locations/operationresults/webpubsub/read |
查詢以位置為基礎的非同步作業結果 |
Microsoft.SignalRService/locations/operationStatuses/webpubsub/read |
查詢以位置為基礎的非同步作業狀態 |
Microsoft.SignalRService/WebPubSub/operationResults/read |
|
Microsoft.SignalRService/WebPubSub/operationStatuses/read |
在管理入口網站中或透過 API 檢視 WebPubSub 存取金鑰 |
Microsoft.SignalRService/WebPubSub/listkeys/action |
在管理入口網站中或透過 API 檢視 WebPubSub 存取金鑰 |
Azure Cosmos DB
警告
Microsoft 建議您使用最安全的可用驗證流程。 這個程序描述的驗證流程需要在應用程式中具備極高的信任度，且伴隨著其他流程並未面臨的風險。 請僅在其他較安全的流程 (例如受控身分識別) 皆不具可行性的情況下，才使用這個流程。
| 動作 |
描述 |
Microsoft.DocumentDB/databaseAccounts/read |
讀取資料庫帳戶。 |
Microsoft.DocumentDB/databaseAccounts/write |
更新資料庫帳戶。 |
Microsoft.DocumentDB/databaseAccounts/listConnectionStrings/action |
取得資料庫帳戶的連接字串 |
Microsoft.DocumentDB/databaseAccounts/listKeys/action |
列出資料庫帳戶的金鑰 |
Azure SQL Database
| 動作 |
描述 |
Microsoft.Sql/servers/firewallRules/read |
傳回伺服器防火牆規則的清單，或取得指定伺服器防火牆規則的屬性。 |
Microsoft.Sql/servers/firewallRules/write |
使用指定參數建立伺服器防火牆規則、更新指定規則的屬性，或使用新的伺服器防火牆規則覆寫所有現有的規則。 |
Microsoft.Sql/servers/firewallRules/delete |
刪除現有的伺服器防火牆規則。 |
Microsoft.Sql/servers/databases/read |
傳回資料庫清單，或取得指定資料庫的屬性。 |
Microsoft.Sql/servers/read |
傳回伺服器清單，或取得指定伺服器的屬性。 |
Microsoft.Sql/servers/virtualNetworkRules/read |
傳回虛擬網路規則的清單，或取得指定虛擬網路規則的屬性。 |
Microsoft.Sql/servers/virtualNetworkRules/write |
使用指定參數建立虛擬網路規則，或更新指定虛擬網路規則的屬性或標記。 |
Microsoft.Sql/servers/virtualNetworkRules/delete |
刪除現有虛擬網路規則 |
Azure Key Vault
| 動作 |
描述 |
Microsoft.KeyVault/vaults/write |
建立新的金鑰保存庫，或更新現有金鑰保存庫的屬性。 某些屬性可能需要更多權限。 |
Microsoft.KeyVault/vaults/read |
檢視 Key Vault 的屬性 |
Microsoft.KeyVault/vaults/secrets/write |
建立新的祕密，或更新現有祕密的值。 |
Microsoft.KeyVault/vaults/accessPolicies/write |
透過合併或取代以更新現有的存取原則，或將新的存取原則新增至金鑰保存庫。 |
Azure Cosmos DB
| 動作 |
描述 |
Microsoft.DocumentDB/databaseAccounts/sqlRoleAssignments/read |
讀取 SQL 角色定義 |
Microsoft.DocumentDB/databaseAccounts/sqlRoleAssignments/write |
建立或更新 SQL 角色定義 |
Microsoft.DocumentDB/databaseAccounts/sqlRoleAssignments/delete |
刪除 SQL 角色指派 |
如果以受控識別或服務主體作為驗證類型建立連線，則服務連接器可能需要向這些受控識別或服務主體授與權限。 下表列出在此案例中建立連線的權限需求。
| 動作 |
描述 |
Microsoft.Authorization/roleAssignments/read |
取得關於角色指派的資訊。 |
Microsoft.Authorization/roleAssignments/write |
建立指定範圍的角色指派。 |
Microsoft.Authorization/roleAssignments/delete |
刪除指定範圍內的角色指派。 |
使用者指派的受控識別連線
如果以使用者指派的受控識別作為驗證類型建立連線，則服務連接器可能需要向此使用者指派的受控識別授與權限。 下表列出在此案例中建立連線的權限需求。
| 動作 |
描述 |
Microsoft.ManagedIdentity/userAssignedIdentities/read |
取得現有已指派使用者的身分識別 |
Microsoft.ManagedIdentity/userAssignedIdentities/assign/action |
用來將現有已指派使用者的身分識別指派給資源的 RBAC 動作 |
Microsoft.ManagedIdentity/userAssignedIdentities/federatedIdentityCredentials/read |
取得或列出同盟身分識別認證 |
Microsoft.ManagedIdentity/userAssignedIdentities/federatedIdentityCredentials/write |
新增或更新同盟身分識別認證 |
Microsoft.ManagedIdentity/userAssignedIdentities/federatedIdentityCredentials/delete |
刪除同盟身分識別認證 |
如果以私人端點或服務端點作為網路解決方案建立連線，則服務連接器可能需要向您的身分識別授與權限。 下表列出在此案例中建立連線的權限需求。
| 動作 |
描述 |
Microsoft.Network/publicIPAddresses/read |
取得公用 IP 位址定義。 |
Microsoft.Network/virtualNetworks/subnets/read |
取得虛擬網路子網路定義 |
Microsoft.Network/virtualNetworks/subnets/write |
建立虛擬網路子網路，或更新現有的虛擬網路子網路 |
Microsoft.Network/privateEndpoints/read |
取得私人端點資源。 |
Microsoft.Network/virtualNetworks/subnets/joinViaServiceEndpoint/action |
將資源 (例如，儲存體帳戶或 SQL Database) 加入至子網路。 不可警示。 |
Microsoft.Network/networkSecurityGroups/join/action |
加入網路安全性群組。 不可警示。 |
Microsoft.Network/serviceEndpointPolicies/join/action |
加入服務端點原則。 不可警示。 |
Microsoft.Network/natGateways/join/action |
加入 NAT 閘道 |
Microsoft.Network/networkIntentPolicies/join/action |
加入網路意圖原則。 不可警示。 |
Microsoft.Network/networkSecurityGroups/join/action |
加入網路安全性群組。 不可警示。 |
Microsoft.Network/routeTables/join/action |
加入路由表。 不可警示。 |