Atribuir funções do Azure RBAC ou funções do Microsoft Entra às entidades de serviços da Área de Trabalho Virtual do Azure

Veja como atribuir uma função RBAC do Azure a uma entidade de serviço da Área de Trabalho Virtual do Azure com escopo para uma assinatura usando o portal do Azure.

1. Entre no portal do Azure.

2. Na caixa de pesquisa, insira Microsoft Entra ID e selecione a entrada de serviço correspondente.

3. Na página Visão geral, na caixa de pesquisa Pesquise seu locatário, digite o ID do aplicativo da entidade de serviço que você deseja atribuir na tabela anterior.

4. Nos resultados, selecione o aplicativo empresarial correspondente para a entidade de serviço que você deseja atribuir, iniciando com a Área de Trabalho Virtual do Azure ou Área de Trabalho Virtual do Windows.

5. Em propriedades, anote o nome e a ID do objeto. A ID do objeto correlaciona-se à ID do aplicativo e é exclusiva do seu locatário.

6. Na caixa de pesquisa, insira Assinaturas e selecione a entrada de serviço correspondente.

7. Selecione a assinatura à qual você deseja adicionar a atribuição de função.

8. Selecione Controle de acesso (IAM) e escolha + Adicionar seguido por Adicionar atribuição de função.

9. Selecione a função que você deseja atribuir à entidade de serviço da Área de Trabalho Virtual do Azure e selecione Avançar.

10. Certifique-se de que Atribuir acesso a esteja definido como Usuário, grupo ou entidade de serviço do Microsoft Entra e selecione Selecionar membros.

11. Insira o nome do aplicativo empresarial que você anotou anteriormente.

12. Selecione a entrada correspondente nos resultados e selecione Selecionar. Se houver duas entradas com o mesmo nome, selecione ambas por enquanto.

13. Examine a lista de membros na tabela. Se você tiver duas entradas, remova a entrada que não corresponde à ID do objeto que você anotou anteriormente.

14. Selecione Próximo e depois selecione Examinar + atribuir para concluir a operação de atribuição de função.

Veja como atribuir uma função RBAC do Azure a uma entidade de serviço da Área de Trabalho Virtual do Azure com escopo para uma assinatura usando o módulo do PowerShell Az.DesktopVirtualization.

1. Abra o Azure Cloud Shell no portal do Azure com o tipo de terminal PowerShell ou execute o PowerShell em seu dispositivo local.

   • Se estiver usando o Cloud Shell, verifique se o contexto do Azure está definido para a assinatura que você deseja usar.

   • Se estiver usando o PowerShell localmente, primeiro conecte-se com o Azure PowerShell e, em seguida, certifique-se de que seu contexto do Azure está definido para a assinatura que você deseja usar.

2. Localize o ID da assinatura à qual você deseja adicionar a atribuição de função listando tudo o que está disponível para você com o seguinte comando:

   Get-AzSubscription
   

3. Armazene a ID da assinatura em uma variável executando o seguinte comando, substituindo a ID da assinatura neste exemplo pela sua própria:

   $subId = "<SubscriptionID>"
   

4. Atribua a função a uma entidade de serviço da Área de Trabalho Virtual do Azure executando o seguinte comando, substituindo o valor do parâmetro RoleDefinitionName pelo nome da função que você precisa atribuir e o parâmetro ApplicationId pelo ID do aplicativo da entidade de serviço que você deseja atribuir da tabela anterior. Este exemplo atribui a função de Colaborador de Ligação e Desligamento da Virtualização da Área de Trabalho à entidade de serviço Área de Trabalho Virtual do Azure na assinatura:

   $parameters = @{
       RoleDefinitionName = "Desktop Virtualization Power On Off Contributor"
       ApplicationId = "9cdead84-a844-4324-93f2-b2e6bb768d07"
       Scope = "/subscriptions/$subId"
   }
   
   New-AzRoleAssignment @parameters
   

   Sua saída deve ser semelhante ao exemplo a seguir:

   RoleAssignmentName : c5221262-d1fa-4d32-9d60-8bd86f618d20
   RoleAssignmentId   : /subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleAssignments/c5221262-d1fa-4d32-9d60-8bd86f618d20
   Scope              : /subscriptions/00000000-0000-0000-0000-000000000000
   DisplayName        : Azure Virtual Desktop
   SignInName         : 
   RoleDefinitionName : Desktop Virtualization Power On Off Contributor
   RoleDefinitionId   : 40c5ff49-9181-41f8-ae61-143b0e78555e
   ObjectId           : 00000000-0000-0000-0000-000000000000
   ObjectType         : ServicePrincipal
   CanDelegate        : False
   Description        : 
   ConditionVersion   : 
   Condition          :
   

Veja como atribuir uma função RBAC do Azure a uma entidade de serviço da Área de Trabalho Virtual do Azure com escopo para uma assinatura usando uma extensão desktopvirtualization para CLI do Azure.

1. Abra o Azure Cloud Shell no portal do Azure com o tipo de terminal Bash ou execute a CLI do Azure em seu dispositivo local.

   • Se estiver usando o Cloud Shell, verifique se o contexto do Azure está definido para a assinatura que você deseja usar.

   • Se você estiver usando a CLI do Azure localmente, primeiro conecte-se com a CLI do Azure e, em seguida, certifique-se de que seu contexto do Azure está definido para a assinatura que você deseja usar.

2. Localize o ID da assinatura à qual você deseja adicionar a atribuição de função listando tudo o que está disponível para você com o seguinte comando:

   az account list --output table
   

3. Armazene o valor de SubscriptionId em uma variável executando o seguinte comando, substituindo a ID da assinatura neste exemplo pela sua própria:

   subId=00000000-0000-0000-0000-000000000000
   

4. Atribua a função a uma entidade de serviço da Área de Trabalho Virtual do Azure executando o seguinte comando, substituindo o valor do parâmetro role pelo nome da função que você precisa atribuir e o parâmetro assignee pelo ID do aplicativo da entidade de serviço que você deseja atribuir da tabela anterior. Este exemplo atribui a função de Colaborador de Ligação e Desligamento da Virtualização da Área de Trabalho à entidade de serviço Área de Trabalho Virtual do Azure na assinatura:

   az role assignment create \
       --assignee "9cdead84-a844-4324-93f2-b2e6bb768d07" \
       --role "Desktop Virtualization Power On Off Contributor" \
       --scope "/subscriptions/$subId"
   

   Sua saída deve ser semelhante ao exemplo a seguir:

   {
     "condition": null,
     "conditionVersion": null,
     "createdBy": null,
     "createdOn": "2023-06-22T13:50:22.978226+00:00",
     "delegatedManagedIdentityResourceId": null,
     "description": null,
     "id": "/subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleAssignments/a211100e-aa52-4f8d-aac9-ad0833f969d0",
     "name": "a211100e-aa52-4f8d-aac9-ad0833f969d0",
     "principalId": "00000000-0000-0000-0000-000000000000",
     "principalType": "ServicePrincipal",
     "roleDefinitionId": "/subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleDefinitions/40c5ff49-9181-41f8-ae61-143b0e78555e",
     "scope": "/subscriptions/00000000-0000-0000-0000-000000000000",
     "type": "Microsoft.Authorization/roleAssignments",
     "updatedBy": "effe20b0-5afb-4e68-a5d7-f8ef9873a070",
     "updatedOn": "2023-06-22T13:50:23.335229+00:00"
   }