New-AzureRmRoleDefinition

Sözdizimi

New-AzureRmRoleDefinition
   [-InputFile] <String>
   [-DefaultProfile <IAzureContextContainer>]
   [<CommonParameters>]

New-AzureRmRoleDefinition
   [-Role] <PSRoleDefinition>
   [-DefaultProfile <IAzureContextContainer>]
   [<CommonParameters>]

Description

New-AzureRmRoleDefinition cmdlet'i, Azure Rol Tabanlı Erişim Denetimi'nde özel bir rol oluşturur. JSON dosyası veya PSRoleDefinition nesnesi olarak komutuna giriş olarak rol tanımı sağlayın. Giriş rolü tanımı aşağıdaki özellikleri içermelidir:

1. DisplayName: Özel rolün adı
2. Açıklama: rolün, rolün iznini özetleyen kısa bir açıklaması.
3. Eylemler: Özel rolün erişim iznini aldığı işlem kümesi. Azure RBAC kullanılarak güvenliği sağlanabilir Azure kaynak sağlayıcılarının işlemini almak için Get-AzureRmProviderOperation komutunu kullanın. Bazı geçerli işlem dizeleri aşağıdadır:

• "*/read" tüm Azure kaynak sağlayıcılarının okuma işlemlerine erişim verir.
• "Microsoft.Network/*/read", Azure'ın Microsoft.Network kaynak sağlayıcısındaki tüm kaynak türleri için okuma işlemlerine erişim verir.
• "Microsoft.Compute/virtualMachines/*" sanal makinelerin ve alt kaynak türlerinin tüm işlemlerine erişim verir.

4. AssignableScopes: Özel rolün atanabilecekleri kapsam kümesi (Azure abonelikleri veya kaynak grupları). AssignableScopes kullanarak, özel rolü yalnızca buna ihtiyaç duyan aboneliklerde veya kaynak gruplarında atama için kullanılabilir hale getirebilirsiniz; diğer abonelikler veya kaynak grupları için kullanıcı deneyimini karmaşık hale getiremezsiniz. Bazı geçerli atanabilir kapsamlar aşağıdadır:

• "/subscriptions/c276fc76-9cd4-44c9-99a7-4fd71546436e", "/subscriptions/e91d47c4-76f3-4271-a796-21b4ecfe3624": rolü iki abonelikte atama için kullanılabilir hale getirir.
• "/subscriptions/c276fc76-9cd4-44c9-99a7-4fd71546436e": rolü tek bir abonelikte atama için kullanılabilir hale getirir.
• "/subscriptions/c276fc76-9cd4-44c9-99a7-4fd71546436e/resourceGroups/Network": rolü yalnızca Ağ kaynak grubunda atama için kullanılabilir hale getirir. Giriş rolü tanımı aşağıdaki özellikleri içerebilir:

1. NotActions: Özel rolün etkili eylemlerini belirlemek için Eylemler'den dışlanması gereken işlem kümesi. Özel bir rolde erişim vermek istemediğiniz belirli bir işlem varsa, Eylemler'de bu işlem dışındaki tüm işlemleri belirtmek yerine NotActions'ı dışlamak için kullanmak uygundur.
2. DataActions: Özel rolün erişim iznini aldığı veri işlemleri kümesi.
3. NotDataActions: Özel rol için etkili verileri belirlemek için DataActions'ın dışında tutulması gereken işlem kümesi. Özel bir rolde erişim vermek istemediğiniz belirli bir veri işlemi varsa, Eylemler'de söz konusu işlem dışındaki tüm işlemleri belirtmek yerine NotDataActions'ı dışlamak için kullanmak uygundur. NOT: Kullanıcıya NotActions'ta bir işlemi belirten bir rol atanırsa ve başka bir rol de aynı işleme erişim izni verirse, kullanıcı bu işlemi gerçekleştirebilir. NotActions bir reddetme kuralı değildir; belirli işlemlerin dışlanması gerektiğinde izin verilen bir dizi işlem oluşturmanın kolay bir yoludur. Giriş { "Ad": "Güncelleştirilmiş Rol", "Description": "Can monitor all resources and start and restart virtual machines", "Actions": [ "/read", "Microsoft.ClassicCompute/virtualmachines/restart/action", "Microsoft.ClassicCompute/virtualmachines/start/action" ], "NotActions": [ "/write" ], "DataActions": [ "Microsoft.Depolama/storageAccounts/blobServices/containers/blobs/read" ], "NotDataActions": [ "Microsoft.Depolama/storageAccounts/blobServices/containers/blobs/write" ], "AssignableScopes": ["/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxx"] }

Örnekler

PSRoleDefinitionObject kullanarak oluşturma

PS C:\> $role = Get-AzureRmRoleDefinition -Name "Virtual Machine Contributor"
          PS C:\> $role.Id = $null
          PS C:\> $role.Name = "Virtual Machine Operator"
          PS C:\> $role.Description = "Can monitor, start, and restart virtual machines."
          PS C:\> $role.Actions.RemoveRange(0,$role.Actions.Count)
          PS C:\> $role.Actions.Add("Microsoft.Compute/*/read")
          PS C:\> $role.Actions.Add("Microsoft.Compute/virtualMachines/start/action")
          PS C:\> $role.Actions.Add("Microsoft.Compute/virtualMachines/restart/action")
          PS C:\> $role.Actions.Add("Microsoft.Compute/virtualMachines/downloadRemoteDesktopConnectionFile/action")
          PS C:\> $role.Actions.Add("Microsoft.Network/*/read")
          PS C:\> $role.Actions.Add("Microsoft.Storage/*/read")
          PS C:\> $role.Actions.Add("Microsoft.Authorization/*/read")
          PS C:\> $role.Actions.Add("Microsoft.Resources/subscriptions/resourceGroups/read")
          PS C:\> $role.Actions.Add("Microsoft.Resources/subscriptions/resourceGroups/resources/read")
          PS C:\> $role.Actions.Add("Microsoft.Insights/alertRules/*")
          PS C:\> $role.Actions.Add("Microsoft.Support/*")
          PS C:\> $role.AssignableScopes.Clear()
          PS C:\> $role.AssignableScopes.Add("/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx")

          PS C:\> New-AzureRmRoleDefinition -Role $role

JSON dosyasını kullanarak oluşturma

PS C:\> New-AzureRmRoleDefinition -InputFile C:\Temp\roleDefinition.json

Parametreler

-DefaultProfile

-InputFile

-Role

Girişler

None

Çıkışlar

PSRoleDefinition

Notlar

Anahtar sözcükler: azure, azurerm, arm, kaynak, yönetim, yönetici, kaynak, grup, şablon, dağıtım

İlişkili Bağlantılar

• Get-AzureRmProviderOperation
• Get-AzureRmRoleDefinition
• Set-AzureRmRoleDefinition
• Remove-AzureRmRoleDefinition