Come usare il controllo degli accessi in base al ruolo in Gestione API di Azure

SI APPLICA A: Tutti i livelli di Gestione API

Gestione API di Azure si basa sul controllo degli accessi in base al ruolo di Azure (RBAC di Azure) per abilitare la gestione degli accessi con granularità fine per i servizi e le entità di Gestione API (ad esempio, API e criteri). Questo articolo offre una panoramica dei ruoli predefiniti e personalizzati in Gestione API. Per altre informazioni sulla gestione degli accessi nel portale di Azure, vedere Introduzione alla gestione degli accessi nel portale di Azure.

Ruoli del servizio predefiniti

In Gestione API sono attualmente disponibili tre ruoli predefiniti e altri due ne verranno aggiunti prossimamente. Questi ruoli possono essere assegnati ad ambiti diversi, tra cui una sottoscrizione, un gruppo di risorse e una singola istanza di Gestione API. Ad esempio, se il ruolo di "Lettura del servizio Gestione API" viene assegnato a un utente a livello di gruppo di risorse, l'utente ha accesso in lettura a tutte le istanze di Gestione API all'interno del gruppo di risorse.

La tabella seguente contiene descrizioni brevi dei ruoli predefiniti. È possibile assegnare questi ruoli tramite il portale di Azure o altri strumenti, tra cui Azure PowerShell, l'interfaccia della riga di comando di Azure e l'API REST. Per informazioni dettagliate su come assegnare ruoli predefiniti, vedere Assegnare ruoli di Azure per gestire l'accesso alle risorse della sottoscrizione di Azure.

^{[1] Accesso in lettura a servizi ed entità di Gestione API (ad esempio, API e criteri).}

^{[2] Accesso in scrittura a servizi ed entità di Gestione API, tranne per le operazioni seguenti: creazione, eliminazione e ridimensionamento di istanze; configurazione di VPN; configurazione di domini personalizzati.}

Ruoli dell'area di lavoro predefiniti

Gestione API fornisce i ruoli predefiniti seguenti per i collaboratori nelle aree di lavoro in un'istanza di Gestione API.

A un collaboratore dell'area di lavoro deve essere assegnato sia un ruolo con ambito area di lavoro che un ruolo con ambito servizio.

A seconda del modo in cui i collaboratori dell'area di lavoro usano o gestiscono l'area di lavoro, è consigliabile assegnare anche uno dei ruoli di controllo degli accessi in base al ruolo forniti da Azure seguenti nell'ambito del gateway dell'area di lavoro: Lettore, Collaboratoreo Proprietario.

Ruoli predefiniti del portale per sviluppatori

Ruoli personalizzati

Se i ruoli predefiniti non soddisfano le proprie esigenze, è possibile creare ruoli personalizzati per fornire una gestione degli accessi più granulare per le entità di Gestione API. È ad esempio possibile creare un ruolo personalizzato con accesso in sola lettura a un servizio di Gestione API, ma che ha accesso in scrittura solo a un'API specifica. Per altre informazioni sui ruoli personalizzati, vedere Ruoli personalizzati nel Controllo degli accessi in base al ruolo di Azure.

Quando si crea un ruolo personalizzato, è più semplice iniziare con uno dei ruoli predefiniti. Modificare gli attributi per aggiungere Actions, NotActions o AssignableScopes e quindi salvare le modifiche come nuovo ruolo. L'esempio seguente inizia con il ruolo "API Management Service Reader Role" (Ruolo lettura del servizio Gestione API di Azure) e crea un ruolo personalizzato denominato "Calculator API Editor" (Editor API di calcolo). È possibile assegnare il ruolo personalizzato nell'ambito di un'API specifica. Di conseguenza, questo ruolo può accedere solo a tale API.

$role = Get-AzRoleDefinition "API Management Service Reader Role"
$role.Id = $null
$role.Name = 'Calculator API Contributor'
$role.Description = 'Has read access to Contoso APIM instance and write access to the Calculator API.'
$role.Actions.Add('Microsoft.ApiManagement/service/apis/write')
$role.Actions.Add('Microsoft.ApiManagement/service/apis/*/write')
$role.AssignableScopes.Clear()
$role.AssignableScopes.Add('/subscriptions/<Azure subscription ID>/resourceGroups/<resource group name>/providers/Microsoft.ApiManagement/service/<APIM service instance name>/apis/<API name>')
New-AzRoleDefinition -Role $role
New-AzRoleAssignment -ObjectId <object ID of the user account> -RoleDefinitionName 'Calculator API Contributor' -Scope '/subscriptions/<subscription ID>/resourceGroups/<resource group name>/providers/Microsoft.ApiManagement/service/<APIM service instance name>/apis/<API name>'

Nell'articolo Operazioni di provider di risorse con Azure Resource Manager è disponibile l'elenco delle autorizzazioni che possono essere concesse a livello di Gestione API.

Passaggi successivi

Per altre informazioni sul controllo degli accessi in base al ruolo in Azure, vedere gli articoli seguenti:

• Introduzione alla gestione degli accessi nel portale di Azure
• Assegnare ruoli di Azure per gestire l'accesso alle risorse della sottoscrizione di Azure
• Ruoli personalizzati nel Controllo degli accessi in base al ruolo di Azure
• Operazioni dei provider di risorse di Azure Resource Manager