Descripción de las asignaciones de roles de Azure

Las asignaciones de roles permiten conceder a una entidad de seguridad (como un usuario, un grupo, una identidad administrada o una entidad de servicio) acceso a un recurso de Azure concreto. En este artículo se describen los detalles de las asignaciones de roles.

Asignación de roles

El acceso a los recursos de Azure se concede mediante la creación de una asignación de roles y se revoca al quitar una asignación de roles.

Una asignación de roles tiene varios componentes, entre los que se incluyen:

• La entidad de seguridad o quién tiene asignado el rol.
• El rol que tienen asignado.
• El ámbito en el que se asigna el rol.
• El nombre de la asignación de roles y una descripción que le ayuda a explicar por qué se ha asignado el rol.

Por ejemplo, puede usar Azure RBAC para asignar roles como:

• El usuario Sally tiene acceso de propietario a la cuenta de almacenamiento contoso123 en el grupo de recursos ContosoStorage.
• Todos los usuarios del grupo Administradores de la nube de Microsoft Entra ID tienen acceso de lector a todos los recursos del grupo de recursos ContosoStorage.
• La identidad administrada asociada a una aplicación puede reiniciar las máquinas virtuales dentro de la suscripción de Contoso.

Este es un ejemplo de las propiedades de una asignación de roles cuando se muestran mediante Azure PowerShell:

{
  "RoleAssignmentName": "00000000-0000-0000-0000-000000000000",
  "RoleAssignmentId": "/subscriptions/11111111-1111-1111-1111-111111111111/providers/Microsoft.Authorization/roleAssignments/00000000-0000-0000-0000-000000000000",
  "Scope": "/subscriptions/11111111-1111-1111-1111-111111111111",
  "DisplayName": "User Name",
  "SignInName": "user@contoso.com",
  "RoleDefinitionName": "Contributor",
  "RoleDefinitionId": "b24988ac-6180-42a0-ab88-20f7382dd24c",
  "ObjectId": "22222222-2222-2222-2222-222222222222",
  "ObjectType": "User",
  "CanDelegate": false,
  "Description": null,
  "ConditionVersion": null,
  "Condition": null
}

Este es un ejemplo de las propiedades de una asignación de roles cuando se muestran mediante la CLI de Azure o la API REST:

{
  "canDelegate": null,
  "condition": null,
  "conditionVersion": null,
  "description": null,
  "id": "/subscriptions/11111111-1111-1111-1111-111111111111/providers/Microsoft.Authorization/roleAssignments/00000000-0000-0000-0000-000000000000",
  "name": "00000000-0000-0000-0000-000000000000",
  "principalId": "22222222-2222-2222-2222-222222222222",
  "principalName": "user@contoso.com",
  "principalType": "User",
  "roleDefinitionId": "/subscriptions/11111111-1111-1111-1111-111111111111/providers/Microsoft.Authorization/roleDefinitions/b24988ac-6180-42a0-ab88-20f7382dd24c",
  "roleDefinitionName": "Contributor",
  "scope": "/subscriptions/11111111-1111-1111-1111-111111111111",
  "type": "Microsoft.Authorization/roleAssignments"
}

En la tabla siguiente se describe el significado de las propiedades de la asignación de roles.

Ámbito

Al crear una asignación de roles, debe especificar el ámbito en el que se aplica. El ámbito representa el recurso o el conjunto de recursos a los que la entidad de seguridad puede acceder. Puede limitar una asignación de roles a un único recurso, un grupo de recursos, una suscripción o un grupo de administración.

Para obtener más información sobre el ámbito, vea Comprensión del ámbito.

Rol que se asigna

Una asignación de roles está asociada a una definición de roles. La definición de roles especifica los permisos que la entidad de seguridad debe tener dentro del ámbito de la asignación de roles.

Puede asignar una definición de rol integrada o una definición de rol personalizada. Al crear una asignación de roles, algunas herramientas requieren que use el identificador de definición de roles, mientras que otras le permiten proporcionar el nombre del rol.

Para más información sobre las definiciones de roles, consulte Descripción de definiciones de roles.

Principal

Las entidades de seguridad incluyen usuarios, grupos de seguridad, identidades administradas, identidades de carga de trabajo y entidades de servicio. Las entidades de seguridad se crean y administran en el inquilino de Microsoft Entra. Puede asignar un rol a cualquier entidad de seguridad. Use el identificador de objeto de Microsoft Entra ID para identificar la entidad de seguridad a la que quiere asignar el rol.

Al crear una asignación de roles mediante Azure PowerShell, la CLI de Azure, Bicep u otra tecnología de infraestructura como código (IaC), especifique el tipo de entidad de seguridad. Los tipos principales incluyen User, Group y ServicePrincipal. Es importante especificar el tipo de entidad de seguridad correcto. De lo contrario, es posible que reciba errores de implementación intermitentes, especialmente cuando trabaja con entidades de servicio e identidades administradas.

Nombre

El nombre del recurso de una asignación de roles debe ser un identificador único global (GUID).

Los nombres de recursos de asignación de roles deben ser únicos dentro del inquilino de Microsoft Entra, incluso si el ámbito de la asignación de roles es más reducido.

Comportamiento de la eliminación de recursos

Al eliminar un usuario, un grupo, una entidad de servicio o una identidad administrada de Microsoft Entra ID, se recomienda eliminar también cualquier asignación de roles, ya que no se eliminan automáticamente. Las asignaciones de roles que hacen referencia a un identificador de entidad de seguridad eliminado no son válidas.

Si intenta reutilizar el nombre de una asignación de roles para otra asignación, se producirá un error en la implementación. Es más probable que se produzca este problema cuando se usa Bicep o una plantilla de Azure Resource Manager (plantilla de ARM) para implementar las asignaciones de roles, ya que tiene que establecer explícitamente el nombre de la asignación de roles al usar estas herramientas. Para solucionar este comportamiento, debe eliminar la asignación de roles anterior antes de volver a crearla o asegurarse de que usa un nombre único al implementar una nueva asignación de roles.

Descripción

Puede agregar una descripción de texto a una asignación de roles. Aunque las descripciones son opcionales, se recomienda agregarlas a las asignaciones de roles. Proporcione una breve justificación de por qué la entidad de seguridad necesita el rol asignado. Cuando alguien audita las asignaciones de roles, las descripciones pueden ayudar a comprender por qué se han creado y si siguen siendo aplicables.

Condiciones

Algunos roles admiten condiciones de asignación de roles basadas en atributos en el contexto de acciones específicas. Una condición de asignación de roles es una comprobación adicional que puede agregar opcionalmente a la asignación de roles para proporcionar un control de acceso más preciso.

Por ejemplo, puede agregar una condición que requiera que un objeto tenga una etiqueta específica para leerlo.

Normalmente, se crean condiciones con un editor de condiciones visuales, pero este es el aspecto de una condición de ejemplo en el código:

((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})) OR (@resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<$key_case_sensitive$>] StringEqualsIgnoreCase 'Cascade'))

La condición anterior permite a los usuarios leer blobs con una clave de etiqueta de índice de blob de Project y un valor de Cascade.

Para más información sobre las condiciones, consulte ¿Qué es el control de acceso basado en atributos de Azure (Azure ABAC)?

Integración con Privileged Identity Management (versión preliminar)

Si tiene una licencia de Microsoft Entra ID P2 o Microsoft Entra ID, Privileged Identity Management (PIM) de Microsoft Entra se integra en los pasos de asignación de roles. Por ejemplo, puede asignar roles a los usuarios durante un período de tiempo limitado. También puede hacer que los usuarios sean aptos para las asignaciones de roles para que deban activarse para usar el rol, como la aprobación de solicitudes. Las asignaciones de roles aptas proporcionan acceso Just-In-Time a un rol durante un período de tiempo limitado. No puede crear asignaciones de roles aptas para aplicaciones, entidades de servicio ni identidades administradas porque no pueden realizar los pasos de activación. Puede crear asignaciones de roles aptas en los ámbitos de grupo de administración, suscripción y grupo de recursos, pero no en el ámbito de recurso. Esta funcionalidad se implementa en fases, por lo que es posible que aún no esté disponible en el inquilino o que la interfaz tenga un aspecto diferente.

Las opciones de tipo de asignación disponibles pueden variar en función de la directiva de PIM. Por ejemplo, la directiva de PIM define si se pueden crear asignaciones permanentes, la duración máxima de las asignaciones enlazadas a tiempo, los requisitos de activación de roles (aprobación, autenticación multifactor o contexto de autenticación de acceso condicional) y otras configuraciones. Para más información, vea Configuración de valores de rol de recurso de Azure en Privileged Identity Management.

Si no desea usar la funcionalidad de PIM, seleccione las opciones de tipo de asignación Activa y duración de asignación Permanente. Esta configuración crea una asignación de roles donde la entidad de seguridad siempre tiene permisos en el rol.

Para comprender mejor PIM, debe revisar los términos siguientes.

Para más información, vea ¿Qué es Privileged Identity Management de Microsoft Entra?

Pasos siguientes

• Delegar la administración de acceso de Azure a otros usuarios
• Pasos para asignar un rol de Azure