Уведомления о ресурсах Azure в качестве источника Azure Event Grid

Уведомления о ресурсах Azure (ARN) представляют собой передовую унифицированную службу публикации и подписки, обслуживающую все ресурсы Azure. ARN использует ресурсы различных издателей, и это богатство данных теперь доступно через выделенные системные темы ARN в Azure Event Grid.

Ниже приведены основные преимущества:

  • Комплексные полезные данные: уведомления, доставленные через ARN, охватывают все полезные данные ресурса. Этот прямой доступ приводит к сокращению ограничения скорости чтения, тем самым улучшая ваш общий опыт.
  • Расширенные возможности фильтрации: доступность полезной нагрузки открывает множество вариантов фильтрации. Используйте свойства в полезных данных для точной настройки потока уведомлений, адаптации его к определенным сценариям.
  • Расширенный доступ к наборам данных: ARN использует возможности нескольких издателей, что позволяет предлагать наборы данных, которые могут быть недоступны через стандартные системные темы.
  • Надежный контроль доступа на основе ролей (RBAC): ARN обеспечена надежной системой RBAC. Эта функция позволяет настроить пользователей или субъектов-служб подписку исключительно на данные, для которых у них есть авторизация, в пределах их доступа.

RBAC для системных тем ARN

Все события в системных темах ARN излучаются исключительно в рамках подписки Azure. Это означает, что сущность, создающая подписку на события для заданного типа раздела, получает уведомления о соответствующих событиях во всей подписке Azure. По соображениям безопасности крайне важно ограничить возможность создания подписок на события в этом разделе субъектам с доступом на чтение по всей подписке Azure.

На сегодняшний день вам потребуются следующие универсальные разрешения, предоставляемые Сеткой событий, для создания системных разделов и подписок на события.

  • microsoft.eventgrid/eventsubscription/write
  • microsoft.eventgrid/systemtopic/eventsubscriptions/write

Помимо этих разрешений, необходимо предоставить следующие разрешения пользователям или субъектам безопасности для доступа к системным разделам ARN. Для каждого типа раздела предоставляются отдельные разрешения, обеспечивая точный и специализированный доступ:

Тип раздела Разрешение
Ресурсы здоровья Microsoft.ResourceNotifications/systemTopics/subscribeToHealthResources/action
Управление ресурсами Azure Microsoft.ResourceNotifications/systemTopics/subscribeToResources/action
Ресурсы событий ContainerService Microsoft.ResourceNotifications/systemTopics/subscribeToContainerServiceEventResources/action

Чтобы улучшить взаимодействие с клиентами, доступно встроенное определение ролей, которое включает все необходимые разрешения для получения данных через любой системный раздел ARN. Эта роль включает разрешения, предусмотренные Event Grid для создания системной темы и подписки на события. Это встроенное определение роли регулярно обновляется, чтобы включить дополнительные типы разделов, так как они становятся доступными через нашу службу. В результате пользователи, назначенные этой встроенной роли, автоматически получают доступ ко всем будущим типам тем ARN. Вы можете использовать предоставленное встроенное определение роли или создать собственные пользовательские определения ролей для принудительного управления доступом.

Встроенное определение роли:

{
    "assignableScopes": [
        "/"
    ],
    "description": "Lets you create system topics and event subscriptions on all system topics exposed currently and in the future by Azure Resource Notifications.",
    "id": "/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/roleDefinitions/[guid]",
    "name": "[guid]",
    "permissions": [{
    "actions": [
        "Microsoft.EventGrid/eventSubscription/write",
        "Microsoft.EventGrid/systemTopics/eventSubscriptions/write",
        "Microsoft.ResourceNotifications/systemTopics/subscribeToResources/action",
        "Microsoft.ResourceNotifications/systemTopics/subscribeToHealthResources/action",
        "Microsoft.ResourceNotifications/systemTopics/subscribeToContainerServiceEventResources/action"
    ],
    "notActions": [],
    "dataActions": [],
    "notDataActions": []
    }],
    "roleName": "Azure Resource Notifications System Topics Subscriber",
    "roleType": "BuiltInRole",
    "type": "Microsoft.Authorization/roleDefinitions"
}

Свяжитесь с нами

Если у вас есть вопросы или отзывы об этой функции, не стесняйтесь обратиться к нам.arnsupport@microsoft.com

Дальнейшие действия

См. следующие статьи:

  • Last updated on