Общие сведения об области действия для Azure RBAC

Область действия — это набор ресурсов, к которым предоставляется доступ. При назначении роли важно понимать область, чтобы предоставить субъекту безопасности доступ лишь в том объеме, к котором он ему действительно нужен. При ограничении области действия вы ограничиваете ресурсы, которые подвергнутся, если субъект безопасности когда-либо будет скомпрометирован.

Уровни области действия

В Azure область действия можно задать на четырех уровнях: группы управления, подписки, группы ресурсов и ресурса. Структура областей строится на отношениях "родитель-потомок". Каждый уровень иерархии делает область более конкретной. Вы можете назначать роли на любом из этих уровней области действия. Выбранный уровень определяет, насколько широка область применения роли. На более низких уровнях наследуются разрешения ролей более высоких уровней.

Группы управления — это уровень области действия, который раполагается выше уровня подписок, но группы управления поддерживают более сложные иерархии. На следующей схеме показан пример иерархии групп управления и подписок, которые можно определить. Дополнительные сведения о группах управления см. в статье Что такое группы управления Azure?

Формат области действия

При назначении ролей с помощью командной строки необходимо указать область действия. Для программ коммандной строки область — это потенциально длинная строка, которая определяет точную область назначения роли. На портале Azure эта область обычно указывается как идентификатор ресурса.

Область состоит из последовательности идентификаторов, разделенных косой чертой (/). Эту строку можно представить как выражение следующей иерархии, где текстом без заполнителей ({}) являются фиксированные идентификаторы:

/subscriptions
    /{subscriptionId}
        /resourcegroups
            /{resourceGroupName}
                /providers
                    /{providerName}
                        /{resourceType}
                            /{resourceSubType1}
                                /{resourceSubType2}
                                    /{resourceName}

• {subscriptionId} — идентификатор используемой подписки (GUID).
• {resourceGroupName} — имя содержащейся группы ресурсов.
• {providerName} — имя поставщика ресурсов, который обрабатывает ресурс. {resourceType} и {resourceSubType*} идентифицируют дополнительные уровни в этом поставщике ресурсов.
• {resourceName} — последняя часть строки, идентифицирующая конкретный ресурс.

Группы управления — это уровень, который располагается выше уровня подписок и имеет самую широкую (наименее конкретную) область. Назначения ролей на этом уровне применяются к подпискам в группе управления. Область действия группы управления имеет следующий формат:

/providers
    /Microsoft.Management
        /managementGroups
            /{managmentGroupName}

Примеры областей действия

Определение области действия ресурса

Определить область действия группы управления, подписки или группы ресурсов довольно просто. Для этого нужно хнать лишь имя и идентификатор подписки. Однако для определения области действия ресурса требуется немного больше усилий. Вот несколько способов определения области действия ресурса.

• На портале Azure откройте ресурс и просмотрите свойства. Здесь есть поле ИД ресурса, в котором можно определить область действия. Например, ниже приведены идентификаторы ресурсов для учетной записи хранения.

  

• Другой способ — использовать портал Azure, чтобы временно назначить роль в области действия ресурса, а затем использовать Azure PowerShell или Azure CLI, чтобы получить назначение роли. В выходных данных область действия будет отображаться как свойство.

  RoleAssignmentId   : /subscriptions/<subscriptionId>/resourceGroups/test-rg/providers/Microsoft.Storage/storageAccounts/azurestorage12345/blobServices/default/containers/blob-container-01/pro
                       viders/Microsoft.Authorization/roleAssignments/<roleAssignmentId>
  Scope              : /subscriptions/<subscriptionId>/resourceGroups/test-rg/providers/Microsoft.Storage/storageAccounts/azurestorage12345/blobServices/default/containers/blob-container-01
  DisplayName        : User
  SignInName         : user@contoso.com
  RoleDefinitionName : Storage Blob Data Reader
  RoleDefinitionId   : 2a2b9908-6ea1-4ae2-8e65-a410df84e7d1
  ObjectId           : <principalId>
  ObjectType         : User
  CanDelegate        : False
  Description        :
  ConditionVersion   :
  Condition          :
  

  {
      "canDelegate": null,
      "condition": null,
      "conditionVersion": null,
      "description": null,
      "id": "/subscriptions/{subscriptionId}/resourceGroups/Example-Storage-rg/providers/Microsoft.Storage/storageAccounts/azurestorage12345/blobServices/default/containers/blob-container-01/providers/Microsoft.Authorization/roleAssignments/{roleAssignmentId}",
      "name": "{roleAssignmentId}",
      "principalId": "{principalId}",
      "principalName": "user@contoso.com",
      "principalType": "User",
      "resourceGroup": "test-rg",
      "roleDefinitionId": "/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/roleDefinitions/2a2b9908-6ea1-4ae2-8e65-a410df84e7d1",
      "roleDefinitionName": "Storage Blob Data Reader",
      "scope": "/subscriptions/{subscriptionId}/resourceGroups/Example-Storage-rg/providers/Microsoft.Storage/storageAccounts/azurestorage12345/blobServices/default/containers/blob-container-01",
      "type": "Microsoft.Authorization/roleAssignments"
    }
  

Область и шаблоны ARM

Назначение ролей — это специальный тип в Azure Resource Manager, называемый ресурсом расширения. Ресурс расширения — это ресурс, который дополняет возможности другого ресурса. Они всегда существуют в виде расширения (например, дочернего элемента) другого ресурса. Например, назначение ролей в области действия подписки является ресурсом расширения этой подписки. Имя назначения ролей всегда является именем ресурса, который вы расширяете, с добавлением /Microsoft.Authorization/roleAssignments/{roleAssignmentId}. При назначении ролей с помощью шаблона Azure Resource Manager (шаблон ARM) область обычно указывать не требуется. Причина заключается в том, что поле области всегда является идентификатором расширяемого ресурса. Область можно определить по идентификатору самого назначения ролей. В следующей таблице приведены примеры идентификатора назначения ролей и соответствующей области:

Дополнительные сведения об области и шаблонах ARM см. в разделе Назначение ролей Azure с помощью шаблонов Azure Resource Manager. Полный список типов ресурсов расширения см. в статье Типы ресурсов, расширяющие возможности других ресурсов.

Следующие шаги

• Действия по назначению роли Azure
• Поставщики ресурсов для служб Azure
• Что такое группы управления Azure?