Назначение ролей Azure RBAC или ролей Microsoft Entra субъекту-службе Виртуального рабочего стола Azure

Вот как назначить роль Azure RBAC субъекту-службе Виртуального рабочего стола Azure, заданной в подписке с помощью портал Azure.

1. Войдите на портал Azure.

2. В поле поиска введите идентификатор Microsoft Entra и выберите соответствующую запись службы.

3. На странице обзора в поле поиска клиента введите идентификатор приложения для субъекта-службы, назначаемого из предыдущей таблицы.

4. В результатах выберите соответствующее корпоративное приложение для субъекта-службы, который вы хотите назначить, начиная с виртуального рабочего стола Azure или виртуального рабочего стола Windows.

5. В разделе свойств запишите имя и идентификатор объекта. Идентификатор объекта коррелирует с идентификатором приложения и является уникальным для вашего клиента.

6. Вернитесь в поле поиска, введите подписки и выберите соответствующую запись службы.

7. Выберите подписку, к которой нужно добавить назначение роли.

8. Выберите элемент управления доступом (IAM), а затем нажмите кнопку +Добавить, а затем добавьте назначение ролей.

9. Выберите роль, которую вы хотите назначить субъекту-службе Виртуального рабочего стола Azure, а затем нажмите кнопку "Далее".

10. Убедитесь, что для назначения доступа задано значение пользователя, группы или субъекта-службы Microsoft Entra, а затем выберите " Выбрать участников".

11. Введите имя корпоративного приложения, которое вы записали ранее.

12. Выберите соответствующую запись из результатов и нажмите кнопку "Выбрать". Если у вас есть две записи с одинаковым именем, выберите их оба.

13. Просмотрите список элементов в таблице. Если у вас есть две записи, удалите запись, которая не соответствует идентификатору объекта, который вы записали ранее.

14. Нажмите кнопку "Далее", а затем нажмите кнопку "Проверить и назначить" , чтобы завершить назначение роли.

Вот как назначить роль Azure RBAC субъекту-службе Виртуального рабочего стола Azure, ограниченной подпиской с помощью модуля PowerShell Az.DesktopVirtualization .

1. Откройте Azure Cloud Shell в портал Azure с типом терминала PowerShell или запустите PowerShell на локальном устройстве.

   • Если вы используете Cloud Shell, убедитесь, что контекст Azure установлен в подписке, которую вы хотите использовать.

   • Если вы используете PowerShell локально, сначала войдите в Azure PowerShell, а затем убедитесь , что контекст Azure установлен в подписке, которую вы хотите использовать.

2. Найдите идентификатор подписки, к которой вы хотите добавить назначение ролей, перечислив все доступные вам с помощью следующей команды:

   Get-AzSubscription
   

3. Сохраните идентификатор подписки в переменной, выполнив следующую команду, заменив идентификатор подписки в этом примере собственным:

   $subId = "<SubscriptionID>"
   

4. Назначьте роль субъекту-службе Виртуального рабочего стола Azure, выполнив следующую команду, заменив значение параметра RoleDefinitionName именем роли, которую необходимо назначить, и ApplicationId параметр с идентификатором приложения субъекта-службы, который вы хотите назначить из предыдущей таблицы. В этом примере роль участника Power Off для виртуализации рабочего стола назначается субъекту-службе Виртуального рабочего стола Azure в подписке:

   $parameters = @{
       RoleDefinitionName = "Desktop Virtualization Power On Off Contributor"
       ApplicationId = "9cdead84-a844-4324-93f2-b2e6bb768d07"
       Scope = "/subscriptions/$subId"
   }
   
   New-AzRoleAssignment @parameters
   

   Выходные данные должны быть похожи на следующий пример:

   RoleAssignmentName : c5221262-d1fa-4d32-9d60-8bd86f618d20
   RoleAssignmentId   : /subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleAssignments/c5221262-d1fa-4d32-9d60-8bd86f618d20
   Scope              : /subscriptions/00000000-0000-0000-0000-000000000000
   DisplayName        : Azure Virtual Desktop
   SignInName         : 
   RoleDefinitionName : Desktop Virtualization Power On Off Contributor
   RoleDefinitionId   : 40c5ff49-9181-41f8-ae61-143b0e78555e
   ObjectId           : aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
   ObjectType         : ServicePrincipal
   CanDelegate        : False
   Description        : 
   ConditionVersion   : 
   Condition          :
   

Вот как назначить роль Azure RBAC субъекту-службе Виртуального рабочего стола Azure, области действия подписки с помощью расширения desktopvirtualization для Azure CLI.

1. Откройте Azure Cloud Shell в портал Azure с типом терминала Bash или запустите Azure CLI на локальном устройстве.

   • Если вы используете Cloud Shell, убедитесь, что контекст Azure установлен в подписке, которую вы хотите использовать.

   • Если вы используете Azure CLI локально, сначала войдите в Azure CLI, а затем убедитесь , что контекст Azure установлен в подписке, которую вы хотите использовать.

2. Найдите идентификатор подписки, к которой вы хотите добавить назначение ролей, перечислив все доступные вам с помощью следующей команды:

   az account list --output table
   

3. Сохраните значение SubscriptionId в переменной, выполнив следующую команду, заменив идентификатор подписки в этом примере собственным:

   subId=00000000-0000-0000-0000-000000000000
   

4. Назначьте роль субъекту-службе Виртуального рабочего стола Azure, выполнив следующую команду, заменив значение параметра role именем роли, которую необходимо назначить, и assignee параметр с идентификатором приложения субъекта-службы, который вы хотите назначить из предыдущей таблицы. В этом примере роль участника Power Off для виртуализации рабочего стола назначается субъекту-службе Виртуального рабочего стола Azure в подписке:

   az role assignment create \
       --assignee "9cdead84-a844-4324-93f2-b2e6bb768d07" \
       --role "Desktop Virtualization Power On Off Contributor" \
       --scope "/subscriptions/$subId"
   

   Выходные данные должны быть похожи на следующий пример:

   {
     "condition": null,
     "conditionVersion": null,
     "createdBy": null,
     "createdOn": "2023-06-22T13:50:22.978226+00:00",
     "delegatedManagedIdentityResourceId": null,
     "description": null,
     "id": "/subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleAssignments/a211100e-aa52-4f8d-aac9-ad0833f969d0",
     "name": "a211100e-aa52-4f8d-aac9-ad0833f969d0",
     "principalId": "00000000-0000-0000-0000-000000000000",
     "principalType": "ServicePrincipal",
     "roleDefinitionId": "/subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleDefinitions/40c5ff49-9181-41f8-ae61-143b0e78555e",
     "scope": "/subscriptions/00000000-0000-0000-0000-000000000000",
     "type": "Microsoft.Authorization/roleAssignments",
     "updatedBy": "effe20b0-5afb-4e68-a5d7-f8ef9873a070",
     "updatedOn": "2023-06-22T13:50:23.335229+00:00"
   }