Примечание.
Для доступа к этой странице требуется авторизация. Вы можете попробовать войти или изменить каталоги.
Для доступа к этой странице требуется авторизация. Вы можете попробовать изменить каталоги.
Узнайте о различных субъектах безопасности и ролях, которые можно использовать для управления доступом к рабочей области Azure Quantum.
Управление доступом на основе ролей в Azure (RBAC)
Управление доступом на основе ролей Azure (Azure RBAC) — это система авторизации, используемая для управления доступом к ресурсам Azure, например рабочей области. Чтобы предоставить доступ, необходимо назначить определенные роли субъекту безопасности.
Субъект безопасности
Субъект безопасности — это объект, представляющий пользователя, группу, служебный субъект или управляемое удостоверение.
| Субъект безопасности | Определение |
|---|---|
| Пользователь | Учетная запись пользователя, которая входит в Azure для создания, управления и использования ресурсов. |
| Группа | Группа пользователей. Используется для управления пользователями, которым требуется тот же доступ и разрешения для ресурсов. |
| Субъект-служба | Удостоверение пользователя для приложения, службы или платформы, необходимой для доступа к ресурсам. |
| Управляемое удостоверение | Автоматическое управляемое удостоверение в Azure Active Directory (Azure AD) для приложений, используемых при подключении к ресурсам, поддерживающим проверку подлинности Azure AD. |
Роль
При предоставлении доступа к субъекту безопасности необходимо назначить встроенную роль или создать пользовательскую роль. Наиболее часто используемые встроенные роли: Владелец, Участник, Участник данных квантовых рабочих областейи Читатель.
| Роль | Уровень доступа |
|---|---|
| владелец | Предоставляет полный доступ для управления всеми ресурсами, включая возможность назначать роли в Azure RBAC. |
| Участник | Предоставляет полный доступ для управления всеми ресурсами, но не позволяет назначать роли в Azure RBAC. |
| Участник данных квантового рабочего пространства | Предоставляет доступ к отправке и просмотру заданий в рабочей области, но не позволяет создавать, удалять или изменять рабочую область. |
| Читатель | Просмотр всех ресурсов, но не позволяет вносить изменения. |
Область
Роли назначаются в определенной области. Область — это набор ресурсов, к которым предоставляется доступ. Структура областей построена на иерархических отношениях "родитель-потомок". Каждый уровень иерархии делает область более конкретной. Выбранный уровень определяет, насколько широка область применения роли. Разрешения ролей на более низких уровнях наследуются от более высоких уровней. Роли можно назначать на четырех уровнях области: группа управления, подписка, группа ресурсов или отдельный ресурс.
| Область | Описание |
|---|---|
| Группа управления | Помогает управлять доступом, политикой и соответствием для нескольких подписок. Все подписки в группе управления автоматически наследуют условия, применяемые к группе управления. Может потребоваться группа управления, если у вашей организации несколько подписок. |
| Подписка | Логически связывает учетные записи пользователей с создаваемыми ресурсами. Учетная запись пользователя — это удостоверение пользователя и одна или несколько подписок. Подписка представляет собой группу ресурсов Azure. Счет создается на уровне подписки. Для создания ресурсов Azure должна быть учетная запись с активной подпиской. Параметры подписки см. в статье "Создание рабочей области Azure Quantum". |
| Группа ресурсов | Контейнер, содержащий связанные ресурсы для решения Azure. Группа ресурсов содержит ресурсы, которыми вы хотите управлять как группой. Например, для запуска приложений в Azure Quantum требуются следующие ресурсы:
|
| Ресурс | Экземпляр службы, которую можно создать, например рабочую область или учетную запись хранения. |
Примечание.
Так как доступ может быть ограничен несколькими уровнями в Azure, пользователь может иметь разные роли на каждом уровне. Например, у пользователя, обладающего правами владельца на рабочую область, может не быть прав владельца на группу ресурсов, в которой содержится эта рабочая область.
Требования к должностям для создания рабочего пространства
При создании новой рабочей области сначала выберите подписку, группу ресурсов и учетную запись хранения, чтобы связать ее с рабочей областью. Возможность создания рабочей области зависит от уровней доступа, начиная с области подписки. Чтобы просмотреть авторизацию для различных ресурсов, см. статью Проверка назначений ролей.
Владелец подписки
Владельцы подписок могут создавать рабочие области с помощью опции 'Быстрое создание' или опции 'Расширенное создание'. Можно выбрать группу ресурсов и учетную запись хранения, которая уже существует в подписке или создать новые. У вас также есть возможность назначать роли другим пользователям.
Участник подписки
Участники подписки могут создавать рабочие области с помощью параметра "Дополнительное создание ".
Чтобы создать новую учетную запись хранения, необходимо выбрать существующую группу ресурсов, в которую вы являетесь владельцем.
Чтобы выбрать существующую учетную запись хранения, необходимо быть владельцем учетной записи хранения. Необходимо также выбрать существующую группу ресурсов, к которой принадлежит учетная запись хранения.
Участники подписки не могут назначать роли другим пользователям.
Подписной читатель
Читатели подписок не могут создавать рабочие области. Вы можете просмотреть все ресурсы, созданные в рамках подписки, но не можете вносить изменения или назначать роли.
Проверьте ваши назначения ролей
Проверка подписок
Чтобы просмотреть список подписок и связанных ролей:
- Войдите на портал Azure.
- В разделе служб Azure выберите подписки. Если вы не видите подписки, воспользуйтесь полем поиска.
- Фильтр подписок рядом с полем поиска может по умолчанию использовать подписку == глобальный фильтр. Чтобы просмотреть список всех подписок, выберите фильтр "Подписки" и снимите галочку в поле "Выбрать только подписки, выбранные в...". Затем выберите Применить. Затем фильтр должен отображать подписки == все.
Проверка ресурсов
Чтобы проверить назначение роли, которое у вас или другого пользователя есть для определенного ресурса, см. статью "Проверка доступа пользователя к ресурсам Azure".
Назначьте роли
Чтобы добавить новых пользователей в рабочую область, необходимо быть владельцем рабочей области. Чтобы предоставить доступ к рабочей области 10 пользователей или меньше, ознакомьтесь с тем, как предоставить общий доступ к рабочей области Azure Quantum. Чтобы предоставить доступ более чем 10 пользователям, см. статью «Добавление группы в рабочую область Azure Quantum».
Сведения о назначении ролей для любого ресурса в любой области, включая уровень подписки, см. в статье "Назначение ролей Azure с помощью портала Azure".
Устранение неполадок
Сведения о решениях распространенных проблем см. в статье "Устранение неполадок Azure Quantum: создание рабочей области Azure Quantum".
При создании ресурса в Azure, например рабочей области, вы не являетесь владельцем ресурса напрямую. Ваша роль наследуется от наивысшей роли в пределах области, для которой у вас есть права доступа в этой подписке.
При создании новых назначений ролей иногда может потребоваться до одного часа, чтобы кэшированные разрешения в стеке вступили в силу.