Управление доступом на основе атрибутов (ABAC) с использованием Microsoft Entra для управления доступом в репозитории

При создании реестра на портале Azure выберите параметр "Реестр RBAC и разрешения репозитория ABAC" в раскрывающемся списке "Режим разрешений назначения ролей".

Перейдите к заполнению остальной части формы создания реестра и нажмите кнопку "Создать", чтобы создать реестр. Дополнительные сведения о создании реестра см. в статье "Создание реестра контейнеров Azure" с помощью портала Azure.

При выполнении az acr create используйте параметр --role-assignment-mode, чтобы установить режим назначения разрешений ролей реестра.

• Вы можете указать rbac-abac для создания реестра с новым режимом "RBAC Registry + ABAC Repository Permissions", который позволяет использовать назначения ролей RBAC и, при необходимости, условия Microsoft Entra ABAC, чтобы ограничить назначения ролей определенными репозиториями.
• Вы также можете указать rbac , чтобы создать реестр с более старым режимом разрешений реестра RBAC, который поддерживает только назначения ролей RBAC без условий ABAC.

Чтобы создать реестр с поддержкой ABAC и разрешениями хранилища ABAC на основе реестра RBAC, выполните следующую команду:

az acr create --name <registry-name> --resource-group <resource-group> --sku <sku> --role-assignment-mode 'rbac-abac' --location <location>

Чтобы просмотреть существующий режим разрешений назначения ролей реестра, перейдите в колонку "Свойства" реестра. Текущий режим разрешений назначения ролей отображается в поле "Режим разрешений назначения ролей".

Чтобы обновить режим разрешений назначения ролей существующего реестра, выберите "RBAC Registry + ABAC Repository Permissions" (Разрешения репозитория RBAC и ABAC) и нажмите кнопку "Сохранить", чтобы обновить реестр.

При выполнении az acr update используйте параметр --role-assignment-mode, чтобы установить режим назначения разрешений ролей реестра.

• Можно указать rbac-abac, чтобы обновить реестр на новый режим разрешений "RBAC Registry + ABAC Repository Permissions", который позволяет использовать назначения ролей в RBAC с необязательными условиями ABAC для ограничения назначений ролей в конкретных репозиториях.
• Можно также указать rbac , чтобы обновить реестр до более старого режима разрешений реестра RBAC, который поддерживает только назначения ролей RBAC без условий ABAC.

Чтобы отобразить текущий режим разрешений назначения ролей реестра, выполните следующую команду:

az acr show --name <registry-name> --resource-group <resource-group> --query "roleAssignmentMode"

Чтобы обновить существующий реестр до RBAC Registry + ABAC Repository Permissions, выполните следующую команду:

az acr update --name <registry-name> --resource-group <resource-group> --role-assignment-mode 'rbac-abac'

Перейдите к панели "Управление доступом (IAM)" реестра. Нажмите кнопку "Добавить" и выберите "Добавить назначение ролей".

Выберите Container Registry Repository Reader в качестве роли.

Продолжайте, выбрав удостоверение, которому будет назначена роль.

Затем перейдите на вкладку "Условия". Нажмите кнопку "Добавить условие", чтобы добавить новое условие ABAC, чтобы ограничить область назначения роли.

Выберите опцию "визуальный редактор" в конструкторе условий ABAC.

Выберите действия (разрешения), которые нужно предоставить для этой роли, ограниченной областью репозитория. Для большинства случаев выберите все действия (разрешения), принадлежащие ранее выбранной роли, чтобы удостоверения могли выполнять только эти действия в пределах области репозитория.

Добавьте выражение для условия ABAC, чтобы ограничить назначение роли определенным репозиторием.

Настройте следующие параметры выражения для ограничения условия ABAC для определенного репозитория.

• Источник атрибута: Request
• Атрибут: Repository name
• Оператор: StringEqualsIgnoreCase
• Значение: <repository-name> — полное имя репозитория.
  • Например, если полное имя репозитория равно nginx, введите nginx.
  • Если имя полного репозитория равно backend/nginx, введите backend/nginx.

Нажмите кнопку "Сохранить", чтобы сохранить условие ABAC.

Просмотрите условие для назначения ролей ABAC. На странице обзора содержится выражение кода условия ABAC, которое может быть использовано для назначения той же роли с тем же условием ABAC, используя Azure CLI.

Выполните назначение роли, нажав кнопку "Проверить и назначить".

После создания назначения роли можно просмотреть, изменить или удалить назначение роли. Перейдите к разделу "Управление доступом (IAM)" реестра и перейдите на вкладку "Назначения ролей", чтобы просмотреть список существующих назначений ролей, которые применяются к реестру.

Чтобы добавить назначение ролей с условием ABAC в определенный репозиторий, используйте az role assignment create. Команда az role assignment create включает следующие параметры, связанные с условиями ABAC.

Команда ACR рекомендует использовать визуальный редактор в интерфейсе назначения ролей портала Azure, чтобы создать выражение для условия ABAC.

Используйте следующее выражение для условия ABAC, чтобы ограничить назначение роли только для репозитория nginx.

(
 (
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/content/read'})
  AND
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/metadata/read'})
 )
 OR 
 (
  @Request[Microsoft.ContainerRegistry/registries/repositories:name] StringEqualsIgnoreCase 'nginx'
 )
)

Можно сохранить это условие ABAC в переменной оболочки с именем condition для использования в команде az role assignment create.

condition=$(cat <<'EOF' | tr -d '\n'
(
 (
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/content/read'})
  AND
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/metadata/read'})
 )
 OR 
 (
  @Request[Microsoft.ContainerRegistry/registries/repositories:name] StringEqualsIgnoreCase 'nginx'
 )
)
EOF
)

Вы можете проверить condition переменную, чтобы убедиться, что она правильна. Убедитесь, что при использовании переменной " используются двойные кавычки (condition).

echo "$condition"

Перед выполнением назначения роли необходимо также запросить идентификатор ресурса реестра для --scope параметра. Параметр --scope всегда должен быть идентификатором ресурса реестра (без имени репозитория), даже для назначений ролей в определенном репозитории. Вы также можете указать группу ресурсов или область подписки для выполнения этого назначения ролей во всех реестрах в группе ресурсов или подписке.

scope=$(az acr show --name <registry-name> --resource-group <resource-group> --query "id" -o tsv)

Наконец, чтобы выполнить назначение роли, выполните следующую команду:

az role assignment create \
  --role "Container Registry Repository Reader" \
  --scope "$scope" \
  --assignee "[email protected]" \
  --description "Read access to a specific repository" \
  --condition "$condition" \
  --condition-version "2.0"

Ниже приведен пример выходных данных:

{
    "canDelegate": null,
    "condition": "( (  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/content/read'})  AND  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/metadata/read'}) ) OR  (  @Request[Microsoft.ContainerRegistry/registries/repositories:name] StringEqualsIgnoreCase 'nginx' ))",
    "conditionVersion": "2.0",
    "description": "{description}",
    "id": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Authorization/roleAssignments/{roleAssignmentId}",
    "name": "{roleAssignmentId}",
    "principalId": "{userObjectId}",
    "principalType": "User",
    "resourceGroup": "{resourceGroup}",
    "roleDefinitionId": "/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/roleDefinitions/{roleDefinitionId}",
    "scope": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.ContainerRegistry/registries/{registryName}",
    "type": "Microsoft.Authorization/roleAssignments"
}

Чтобы обновить или удалить назначение роли, можно использовать az role assignment update или az role assignment delete.

Если вы выполнили предыдущий пример, чтобы назначить Container Registry Repository Reader роль определенному репозиторию, необходимо удалить это назначение роли (перейдя в панель "Управление доступом (IAM)" и выбрав вкладку "Назначения ролей"), прежде чем создавать новое с условием ABAC, ограниченным префиксом репозитория.

Выполните те же действия, что и в предыдущем примере , чтобы выполнить назначение роли с условиями ABAC.

На шаге, чтобы добавить выражение для условия ABAC, настройте выражение для условия ABAC, чтобы ограничить назначение роли несколькими репозиториями с общим префиксом (подстановочным знаком). Настройте следующие параметры:

• Источник атрибута: Request
• Атрибут: Repository name
• Оператор: StringStartsWithIgnoreCase
• Значение: <repository-prefix> - префикс репозиториев, включая косую черту /.
  • Например, чтобы предоставить разрешения всем репозиториям с префиксом backend/, такие как backend/nginx и backend/redis, введите backend/.
  • Чтобы предоставить разрешения всем репозиториям с префиксом frontend/js/, например frontend/js/react и frontend/js/vueвведите frontend/js/.

Нажмите кнопку "Сохранить", чтобы сохранить условие ABAC.

Просмотрите условие для назначения ролей ABAC. На странице обзора содержится выражение кода условия ABAC, которое может быть использовано для назначения той же роли с тем же условием ABAC, используя Azure CLI.

Выполните назначение роли, нажав кнопку "Проверить и назначить".

После создания назначения роли можно просмотреть, изменить или удалить назначение роли. Перейдите к разделу "Управление доступом (IAM)" реестра и перейдите на вкладку "Назначения ролей", чтобы просмотреть список существующих назначений ролей, которые применяются к реестру.

Если вы следовали предыдущему примеру, чтобы назначить Container Registry Repository Reader роль определенному репозиторию, необходимо удалить это назначение роли (с помощью az role assignment delete), прежде чем создать новую с условием ABAC, заданным префиксом репозитория.

Чтобы добавить назначение ролей с условием ABAC в область действия нескольких репозиториев в префиксе, используйте az role assignment create.

Команда ACR рекомендует использовать визуальный редактор в интерфейсе назначения ролей портала Azure, чтобы создать выражение для условия ABAC.

Используйте следующее выражение для условия ABAC, чтобы ограничить назначение роли только для репозитория nginx.

(
 (
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/content/read'})
  AND
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/metadata/read'})
 )
 OR 
 (
  @Request[Microsoft.ContainerRegistry/registries/repositories:name] StringStartsWithIgnoreCase 'backend/'
 )
)

Можно сохранить это условие ABAC в переменной оболочки с именем condition для использования в команде az role assignment create.

condition=$(cat <<'EOF' | tr -d '\n'
(
 (
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/content/read'})
  AND
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/metadata/read'})
 )
 OR 
 (
  @Request[Microsoft.ContainerRegistry/registries/repositories:name] StringStartsWithIgnoreCase 'backend/'
 )
)
EOF
)

Вы можете проверить condition переменную, чтобы убедиться, что она правильна. Убедитесь, что при использовании переменной " используются двойные кавычки (condition).

echo "$condition"

Перед выполнением назначения роли необходимо также запросить идентификатор ресурса реестра для --scope параметра. Параметр --scope всегда должен быть идентификатором ресурса реестра (без имени репозитория), даже для назначений ролей в префиксе репозитория. Вы также можете указать группу ресурсов или область подписки для выполнения этого назначения ролей во всех реестрах в группе ресурсов или подписке.

scope=$(az acr show --name <registry-name> --resource-group <resource-group> --query "id" -o tsv)

Наконец, чтобы выполнить назначение роли, выполните следующую команду:

az role assignment create \
  --role "Container Registry Repository Reader" \
  --scope "$scope" \
  --assignee "[email protected]" \
  --description "Read access to a multiple repositories under a repository prefix" \
  --condition "$condition" \
  --condition-version "2.0"

Ниже приведен пример выходных данных:

{
    "canDelegate": null,
    "condition": "( (  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/content/read'})  AND  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/metadata/read'}) ) OR  (  @Request[Microsoft.ContainerRegistry/registries/repositories:name] StringStartsWithIgnoreCase 'backend/' ))",
    "conditionVersion": "2.0",
    "description": "{description}",
    "id": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Authorization/roleAssignments/{roleAssignmentId}",
    "name": "{roleAssignmentId}",
    "principalId": "{userObjectId}",
    "principalType": "User",
    "resourceGroup": "{resourceGroup}",
    "roleDefinitionId": "/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/roleDefinitions/{roleDefinitionId}",
    "scope": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.ContainerRegistry/registries/{registryName}",
    "type": "Microsoft.Authorization/roleAssignments"
}

Чтобы обновить или удалить назначение роли, можно использовать az role assignment update или az role assignment delete.

Если вы выполнили предыдущий пример, чтобы назначить Container Registry Repository Reader роль определенному репозиторию, необходимо удалить это назначение роли (перейдя в панель "Управление доступом (IAM)" и выбрав вкладку "Назначения ролей"), прежде чем создавать новое с условием ABAC, ограниченным префиксом репозитория.

Выполните те же действия, что и в предыдущем примере , чтобы выполнить назначение роли с условиями ABAC.

На шаге добавления выражения для условия ABAC настройте два выражения для области применения роли в нескольких хранилищах данных под двумя префиксами: backend/ и frontend/js/ (несколько подстановочных знаков).

Для первого выражения настройте следующие параметры:

• Источник атрибута: Request
• Атрибут: Repository name
• Оператор: StringStartsWithIgnoreCase
• Значение: <repository-prefix> - префикс репозиториев, включая косую черту /.
  • Например, чтобы предоставить разрешения всем репозиториям с префиксом backend/, такие как backend/nginx и backend/redis, введите backend/.
  • Чтобы предоставить разрешения всем репозиториям с префиксом frontend/js/, например frontend/js/react и frontend/js/vueвведите frontend/js/.

Нажмите кнопку "Добавить выражение". Убедитесь, что логический оператор имеет значение Or. При необходимости можно выбрать "Группировать" для группирования выражений и управлять порядком оценки. Визуальный редактор также поддерживает несколько логических операторов, включая "And", "Or", иерархическую группировку и отрицание.

Для второго выражения настройте следующие параметры:

• Источник атрибута: Request
• Атрибут: Repository name
• Оператор: StringStartsWithIgnoreCase
• Значение: <repository-prefix> - префикс репозиториев, включая косую черту /.
  • Например, чтобы предоставить разрешения всем репозиториям с префиксом backend/, такие как backend/nginx и backend/redis, введите backend/.
  • Чтобы предоставить разрешения всем репозиториям с префиксом frontend/js/, например frontend/js/react и frontend/js/vueвведите frontend/js/.

Нажмите кнопку "Сохранить", чтобы сохранить условие ABAC.

Просмотрите условие для назначения ролей ABAC. На странице обзора содержится выражение кода условия ABAC, которое может быть использовано для назначения той же роли с тем же условием ABAC, используя Azure CLI.

Выполните назначение роли, нажав кнопку "Проверить и назначить".

После создания назначения роли можно просмотреть, изменить или удалить назначение роли. Перейдите к разделу "Управление доступом (IAM)" реестра и перейдите на вкладку "Назначения ролей", чтобы просмотреть список существующих назначений ролей, которые применяются к реестру.

Если вы следовали предыдущему примеру, чтобы назначить Container Registry Repository Reader роль определенному репозиторию, необходимо удалить это назначение роли (с помощью az role assignment delete), прежде чем создать новую с условием ABAC, заданным префиксом репозитория.

Чтобы добавить назначение роли с условием ABAC, охватывающим несколько репозиториев и несколько префиксов, используйте az role assignment create.

Команда ACR рекомендует использовать визуальный редактор в интерфейсе назначения ролей портала Azure, чтобы создать выражение для условия ABAC.

Используйте следующее выражение для условия ABAC, чтобы ограничить назначение роли только для репозитория nginx.

(
 (
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/content/read'})
  AND
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/metadata/read'})
 )
 OR 
 (
  @Request[Microsoft.ContainerRegistry/registries/repositories:name] StringStartsWithIgnoreCase 'backend/'
  OR
  @Request[Microsoft.ContainerRegistry/registries/repositories:name] StringStartsWithIgnoreCase 'frontend/js/'
 )
)

Можно сохранить это условие ABAC в переменной оболочки с именем condition для использования в команде az role assignment create.

condition=$(cat <<'EOF' | tr -d '\n'
(
 (
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/content/read'})
  AND
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/metadata/read'})
 )
 OR 
 (
  @Request[Microsoft.ContainerRegistry/registries/repositories:name] StringStartsWithIgnoreCase 'backend/'
  OR
  @Request[Microsoft.ContainerRegistry/registries/repositories:name] StringStartsWithIgnoreCase 'frontend/js/'
 )
)
EOF
)

Вы можете проверить condition переменную, чтобы убедиться, что она правильна. Убедитесь, что при использовании переменной " используются двойные кавычки (condition).

echo "$condition"

Перед выполнением назначения ролей необходимо также запросить идентификатор ресурса реестра для параметра --scope. Параметр --scope всегда должен быть идентификатором ресурса реестра (без имени репозитория), даже если назначения ролей ограничены несколькими префиксами репозитория. Вы также можете указать группу ресурсов или область подписки для выполнения этого назначения ролей во всех реестрах в группе ресурсов или подписке.

scope=$(az acr show --name <registry-name> --resource-group <resource-group> --query "id" -o tsv)

Наконец, чтобы выполнить назначение роли, выполните следующую команду:

az role assignment create \
  --role "Container Registry Repository Reader" \
  --scope "$scope" \
  --assignee "[email protected]" \
  --description "Read access to a multiple repositories under multiple repository prefixes" \
  --condition "$condition" \
  --condition-version "2.0"

Ниже приведен пример выходных данных:

{
    "canDelegate": null,
    "condition": "( (  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/content/read'})  AND  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/metadata/read'}) ) OR  (  @Request[Microsoft.ContainerRegistry/registries/repositories:name] StringStartsWithIgnoreCase 'backend/' ))",
    "conditionVersion": "2.0",
    "description": "{description}",
    "id": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Authorization/roleAssignments/{roleAssignmentId}",
    "name": "{roleAssignmentId}",
    "principalId": "{userObjectId}",
    "principalType": "User",
    "resourceGroup": "{resourceGroup}",
    "roleDefinitionId": "/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/roleDefinitions/{roleDefinitionId}",
    "scope": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.ContainerRegistry/registries/{registryName}",
    "type": "Microsoft.Authorization/roleAssignments"
}

Чтобы обновить или удалить назначение роли, можно использовать az role assignment update или az role assignment delete.