Разрешения репозитория на основе атрибутов Azure (Azure ABAC) в реестре контейнеров Azure

При создании нового реестра на портале Azure выберите RBAC Registry + ABAC Repository Permissions для режима назначения ролей.

При выполнении az acr create используйте параметр --role-assignment-mode, чтобы задать режим разрешений назначения ролей. Укажите rbac-abac , чтобы создать реестр с включенной функцией Azure ABAC:

az acr create --name <registry-name> --resource-group <resource-group> --sku <sku> --role-assignment-mode 'rbac-abac' --location <location>

Чтобы просмотреть существующий режим разрешений назначения ролей реестра, перейдите в реестр на портале Azure. В меню службы в разделе "Параметры" выберите "Свойства", а затем проверьте параметр режима разрешений назначения ролей .

Чтобы включить Azure RBAC, выберите реестр RBAC и разрешения репозитория ABAC, а затем нажмите кнопку "Сохранить".

При выполнении az acr update используйте параметр --role-assignment-mode, чтобы установить режим назначения разрешений ролей реестра. Укажите rbac-abac, чтобы создать реестр с включенными разрешениями репозитория RBAC и ABAC.

Чтобы отобразить текущий режим разрешений назначения ролей реестра, выполните следующую команду:

az acr show --name <registry-name> --resource-group <resource-group> --query "roleAssignmentMode"

Чтобы обновить существующий реестр, чтобы включить Azure ABAC, выполните следующую команду:

az acr update --name <registry-name> --resource-group <resource-group> --role-assignment-mode 'rbac-abac'

1. Перейдите в реестр на портале Azure. В меню службы выберите элемент управления доступом (IAM).

2. Выберите Добавить, затем выберите Добавить назначение ролей.

3. Найдите Container Registry Repository Reader. Выберите ее и нажмите кнопку "Далее".

4. На вкладке "Члены" укажите учетную запись, которой должна быть назначена эта роль, и выберите "Далее".

5. На вкладке "Условия " выберите "Добавить условие".

6. Убедитесь, что выбран визуальный для типа редактора.

7. В разделе "Условие 1" выберите действия (разрешения), принадлежащие этой роли, которую вы хотите предоставить в этом назначении ролей в области репозитория. В большинстве случаев выберите все действия, чтобы ограничить их выполнение идентификаторами с этой ролью в области репозитория. Нажмите кнопку ОК, чтобы сохранить изменения.

   

8. Затем в разделе Создать выражение выберите Добавить выражение. Настройте следующие параметры выражения для ограничения условия ABAC для определенного репозитория.

   • Источник атрибута: Request
   • Атрибут: Repository name
   • Оператор: StringEqualsIgnoreCase
   • Значение: <repository-name> — полное имя репозитория

   

9. Нажмите кнопку "Сохранить ", чтобы сохранить условие ABAC, а затем просмотрите выражение кода условия ABAC. Этот код можно использовать для выполнения того же назначения ролей с тем же условием ABAC с помощью Azure CLI.

   

10. Выберите Рецензирование и назначение, чтобы завершить назначение роли.

После создания назначения роли вы можете просмотреть, изменить или удалить его на странице управления доступом (IAM) реестра, выбрав назначения ролей.

Чтобы добавить назначение ролей с условием ABAC в определенный репозиторий, используйте az role assignment create. Эта команда включает следующие параметры, связанные с условиями ABAC:

Чтобы создать выражение для условия ABAC, рекомендуется использовать визуальный редактор в интерфейсе назначения ролей портала Azure. В этом примере используйте следующее выражение для условия ABAC, чтобы ограничить назначение роли репозиторием hello-world:

(
 (
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/content/read'})
  AND
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/metadata/read'})
 )
 OR 
 (
  @Request[Microsoft.ContainerRegistry/registries/repositories:name] StringEqualsIgnoreCase 'hello-world'
 )
)

Это условие ABAC можно сохранить в переменной оболочки с именем condition, чтобы использовать в команде az role assignment create.

condition=$(cat <<'EOF' | tr -d '\n'
(
 (
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/content/read'})
  AND
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/metadata/read'})
 )
 OR 
 (
  @Request[Microsoft.ContainerRegistry/registries/repositories:name] StringEqualsIgnoreCase 'hello-world'
 )
)
EOF
)

condition Внимательно проверьте переменную, чтобы убедиться, что она правильна. Не забудьте использовать двойные кавычки (") всякий раз, когда используется condition переменная.

echo "$condition"

Перед выполнением назначения роли запросите идентификатор ресурса реестра для --scope параметра. Всегда используйте идентификатор ресурса реестра (без имени репозитория) для --scope параметра, даже для назначений ролей в определенном репозитории. Вы также можете указать группу ресурсов или область подписки для выполнения этого назначения ролей во всех реестрах в группе ресурсов или подписке.

scope=$(az acr show --name <registry-name> --resource-group <resource-group> --query "id" -o tsv)

Наконец, выполните следующую команду, чтобы выполнить назначение роли:

az role assignment create \
  --role "Container Registry Repository Reader" \
  --scope "$scope" \
  --assignee "user@contoso.com" \
  --description "Read access to a specific repository" \
  --condition "$condition" \
  --condition-version "2.0"

Ниже приведен пример выходных данных:

{
    "canDelegate": null,
    "condition": "( (  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/content/read'})  AND  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/metadata/read'}) ) OR  (  @Request[Microsoft.ContainerRegistry/registries/repositories:name] StringEqualsIgnoreCase 'hello-world' ))",
    "conditionVersion": "2.0",
    "description": "{description}",
    "id": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Authorization/roleAssignments/{roleAssignmentId}",
    "name": "{roleAssignmentId}",
    "principalId": "{userObjectId}",
    "principalType": "User",
    "resourceGroup": "{resourceGroup}",
    "roleDefinitionId": "/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/roleDefinitions/{roleDefinitionId}",
    "scope": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.ContainerRegistry/registries/{registryName}",
    "type": "Microsoft.Authorization/roleAssignments"
}

Чтобы обновить или удалить назначение роли, используйте az role assignment update или az role assignment delete.

Если вы выполнили предыдущий пример, чтобы назначить Container Registry Repository Reader роль определенному репозиторию, удалите это назначение роли перед созданием новой. Вы можете удалить назначение в элементе управления доступом (IAM), выбрав назначения ролей, выбрав назначение роли, а затем нажмите кнопку "Удалить".

1. Выполните те же действия, что и в предыдущем примере , чтобы выполнить назначение роли с условиями ABAC.

2. На шаге, чтобы добавить выражение для условия ABAC, настройте выражение для условия ABAC, чтобы ограничить назначение роли несколькими репозиториями с общим префиксом (подстановочным знаком). Настройте следующие параметры:

   • Источник атрибута: Request

   • Атрибут: Repository name

   • Оператор: StringStartsWithIgnoreCase

   • Значение: <repository-prefix> - префикс репозиториев, включая завершающую косую черту /. Например, чтобы предоставить разрешения всем репозиториям с префиксом backend/, такие как backend/nginx и backend/redis, введите backend/. Чтобы предоставить разрешения всем репозиториям с префиксом frontend/js/, например frontend/js/react и frontend/js/vueвведите frontend/js/.

     Это важно

     Треугольная скобка / необходима в выражении условия ABAC в Value поле. Если косая черта /не включена, вы можете непреднамеренно предоставить разрешения другим репозиториям, которые не соответствуют префиксу. Например, если вы вводите backend без завершающей косой черты /, назначение роли предоставляет разрешения для всех репозиториев с префиксом backend, таких как backend/nginx, backend/redis, backend-infra/k8s, backend-backup/store, backend и backendsvc/containers.

3. Нажмите кнопку "Сохранить ", чтобы сохранить условие ABAC, а затем просмотрите выражение кода условия ABAC.

4. Выберите Рецензирование и назначение, чтобы завершить назначение роли.

Если вы следовали предыдущему примеру, чтобы назначить Container Registry Repository Reader роль определенному репозиторию, удалите назначение этой роли (с помощью az role assignment delete) перед созданием новой с условием ABAC, применяемым к префиксу репозитория.

Чтобы добавить назначение ролей с условием ABAC в пределах нескольких репозиториев под префиксом, используйте az role assignment create.

Чтобы создать выражение для условия ABAC, рекомендуется использовать визуальный редактор в интерфейсе назначения ролей портала Azure. В этом примере используйте следующее выражение для условия ABAC, чтобы ограничить назначение роли репозиториями с префиксом backend/, такими как backend/nginx и backend/redis.

(
 (
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/content/read'})
  AND
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/metadata/read'})
 )
 OR 
 (
  @Request[Microsoft.ContainerRegistry/registries/repositories:name] StringStartsWithIgnoreCase 'backend/'
 )
)

Выполните действия, описанные в первом разделе , чтобы сохранить это условие ABAC в переменной оболочки с именем condition и запросить идентификатор ресурса реестра для --scope параметра. Затем выполните назначение роли, выполнив следующую команду:

az role assignment create \
  --role "Container Registry Repository Reader" \
  --scope "$scope" \
  --assignee "user@contoso.com" \
  --description "Read access to a multiple repositories under a repository prefix" \
  --condition "$condition" \
  --condition-version "2.0"

Ниже приведен пример выходных данных:

{
    "canDelegate": null,
    "condition": "( (  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/content/read'})  AND  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/metadata/read'}) ) OR  (  @Request[Microsoft.ContainerRegistry/registries/repositories:name] StringStartsWithIgnoreCase 'backend/' ))",
    "conditionVersion": "2.0",
    "description": "{description}",
    "id": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Authorization/roleAssignments/{roleAssignmentId}",
    "name": "{roleAssignmentId}",
    "principalId": "{userObjectId}",
    "principalType": "User",
    "resourceGroup": "{resourceGroup}",
    "roleDefinitionId": "/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/roleDefinitions/{roleDefinitionId}",
    "scope": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.ContainerRegistry/registries/{registryName}",
    "type": "Microsoft.Authorization/roleAssignments"
}

Если вы выполнили предыдущий пример, чтобы назначить Container Registry Repository Reader роль определенному префиксу репозитория, удалите это назначение роли перед созданием нового. Вы можете удалить назначение в элементе управления доступом (IAM), выбрав назначения ролей, выбрав назначение роли, а затем нажмите кнопку "Удалить".

1. Выполните те же действия, что и в первом примере , чтобы выполнить назначение роли с условиями ABAC.

2. На шаге добавления выражения для условия ABAC настройте два выражения для области применения роли в нескольких хранилищах данных под двумя префиксами: backend/ и frontend/js/ (несколько подстановочных знаков). Включите косую черту / в каждый префикс.

   Для первого выражения настройте следующие параметры:

   • Источник атрибута: Request
   • Атрибут: Repository name
   • Оператор: StringStartsWithIgnoreCase
   • Значение: backend/

3. Выберите Добавить выражение. Визуальный редактор также поддерживает несколько логических операторов, включая And, Or, иерархическое группирование и отрицание. В этом примере убедитесь, что логический оператор имеет значение Or.

4. Для второго выражения настройте следующие параметры:

   • Источник атрибута: Request
   • Атрибут: Repository name
   • Оператор: StringStartsWithIgnoreCase
   • Значение: frontend/js/

   

5. Нажмите кнопку "Сохранить ", чтобы сохранить условие ABAC, а затем просмотрите выражение кода условия ABAC.

6. Выберите Рецензирование и назначение, чтобы завершить назначение роли.

Если вы следовали предыдущему примеру, чтобы назначить Container Registry Repository Reader роль определенному префиксу репозитория, удалите это назначение роли (с помощью az role assignment delete), перед созданием нового с условием ABAC, применённым к префиксу репозитория.

Чтобы добавить назначение ролей с условием ABAC в пределах нескольких репозиториев под префиксом, используйте az role assignment create.

Чтобы создать выражение для условия ABAC, рекомендуется использовать визуальный редактор в интерфейсе назначения ролей портала Azure. В этом примере используйте следующее выражение для условия ABAC, чтобы ограничить назначение роли репозиториями с префиксом backend/ или frontend/js/:

(
 (
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/content/read'})
  AND
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/metadata/read'})
 )
 OR 
 (
  @Request[Microsoft.ContainerRegistry/registries/repositories:name] StringStartsWithIgnoreCase 'backend/'
  OR
  @Request[Microsoft.ContainerRegistry/registries/repositories:name] StringStartsWithIgnoreCase 'frontend/js/'
 )
)

Выполните действия, описанные в первом разделе , чтобы сохранить это условие ABAC в переменной оболочки с именем condition и запросить идентификатор ресурса реестра для --scope параметра. Затем выполните назначение роли, выполнив следующую команду:

az role assignment create \
  --role "Container Registry Repository Reader" \
  --scope "$scope" \
  --assignee "user@contoso.com" \
  --description "Read access to a multiple repositories under multiple repository prefixes" \
  --condition "$condition" \
  --condition-version "2.0"

Ниже приведен пример выходных данных:

{
    "canDelegate": null,
    "condition": "( (  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/content/read'})  AND  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/metadata/read'}) ) OR  (  @Request[Microsoft.ContainerRegistry/registries/repositories:name] StringStartsWithIgnoreCase 'backend/' ))",
    "conditionVersion": "2.0",
    "description": "{description}",
    "id": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Authorization/roleAssignments/{roleAssignmentId}",
    "name": "{roleAssignmentId}",
    "principalId": "{userObjectId}",
    "principalType": "User",
    "resourceGroup": "{resourceGroup}",
    "roleDefinitionId": "/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/roleDefinitions/{roleDefinitionId}",
    "scope": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.ContainerRegistry/registries/{registryName}",
    "type": "Microsoft.Authorization/roleAssignments"
}