Назначьте роли Azure RBAC или роли Microsoft Entra для принципалов служб Виртуального рабочего стола Azure

Вот как назначить роль Azure RBAC служебному принципалу Виртуального рабочего стола Azure в пределах подписки, используя портал Azure.

1. Войдите на портал Azure.

2. В поле поиска введите идентификатор Microsoft Entra и выберите соответствующую запись службы.

3. На странице обзора в поле поиска клиента введите идентификатор приложения для субъекта-службы, назначаемого из предыдущей таблицы.

4. В результатах выберите соответствующее корпоративное приложение для субъекта-службы, который вы хотите назначить, начиная с виртуального рабочего стола Azure или виртуального рабочего стола Windows.

5. В разделе свойств запишите имя и идентификатор объекта. Идентификатор объекта коррелирует с идентификатором приложения и является уникальным для вашего клиента.

6. Вернитесь в поле поиска, введите Подписки и выберите соответствующую запись об услуге.

7. Выберите подписку, к которой нужно добавить назначение роли.

8. Выберите Управление доступом (IAM), затем выберите +Добавить, а затем Добавить назначение ролей.

9. Выберите роль, которую вы хотите назначить учетной записи Виртуального рабочего стола Azure, а затем щелкните "Далее".

10. Убедитесь, что Назначение доступа назначено пользователю, группе или сервисному принципалу Microsoft Entra, а затем выберите Выбрать участников.

11. Введите имя программного обеспечения для предприятий, которое вы отметили ранее.

12. Выберите соответствующую запись из результатов и нажмите кнопку "Выбрать". Если у вас есть две записи с одинаковым именем, выберите их обе.

13. Просмотрите список участников в таблице. Если у вас есть две записи, удалите запись, которая не соответствует идентификатору объекта, который вы записали ранее.

14. Нажмите кнопку "Далее", а затем нажмите кнопку "Проверить и назначить" , чтобы завершить назначение роли.

Вот как назначить роль Azure RBAC сервисному принципалу Azure Virtual Desktop с областью действия, установленной на уровне подписки, используя модуль PowerShell Az.DesktopVirtualization.

1. Откройте Azure Cloud Shell в портал Azure с типом терминала PowerShell или запустите PowerShell на локальном устройстве.

   • Если вы используете Cloud Shell, убедитесь, что контекст Azure установлен в подписке, которую вы хотите использовать.

   • Если вы используете PowerShell локально, сначала войдите в Azure PowerShell, а затем убедитесь , что контекст Azure установлен в подписке, которую вы хотите использовать.

2. Найдите идентификатор подписки, к которой вы хотите добавить назначение ролей, перечислив все доступные вам с помощью следующей команды:

   Get-AzSubscription
   

3. Сохраните идентификатор подписки в переменной, выполнив следующую команду, заменив идентификатор подписки в этом примере собственным:

   $subId = "<SubscriptionID>"
   

4. Назначьте роль субъекту-службе Виртуального рабочего стола Azure, выполнив следующую команду, заменив значение параметра RoleDefinitionName именем роли, которую необходимо назначить, и ApplicationId параметр с идентификатором приложения субъекта-службы, который вы хотите назначить из предыдущей таблицы. В этом примере роль участника Power Off для виртуализации рабочего стола назначается субъекту-службе Виртуального рабочего стола Azure в подписке:

   $parameters = @{
       RoleDefinitionName = "Desktop Virtualization Power On Off Contributor"
       ApplicationId = "9cdead84-a844-4324-93f2-b2e6bb768d07"
       Scope = "/subscriptions/$subId"
   }
   
   New-AzRoleAssignment @parameters
   

   Выходные данные должны быть похожи на следующий пример:

   RoleAssignmentName : c5221262-d1fa-4d32-9d60-8bd86f618d20
   RoleAssignmentId   : /subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleAssignments/c5221262-d1fa-4d32-9d60-8bd86f618d20
   Scope              : /subscriptions/00000000-0000-0000-0000-000000000000
   DisplayName        : Azure Virtual Desktop
   SignInName         : 
   RoleDefinitionName : Desktop Virtualization Power On Off Contributor
   RoleDefinitionId   : 40c5ff49-9181-41f8-ae61-143b0e78555e
   ObjectId           : aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
   ObjectType         : ServicePrincipal
   CanDelegate        : False
   Description        : 
   ConditionVersion   : 
   Condition          :
   

Вот как назначить роль Azure RBAC для основного объекта службы Виртуального рабочего стола Azure в пределах подписки, используя расширение desktopvirtualization для Azure CLI.

1. Откройте Azure Cloud Shell в портал Azure с типом терминала Bash или запустите Azure CLI на локальном устройстве.

   • Если вы используете Cloud Shell, убедитесь, что контекст Azure установлен в подписке, которую вы хотите использовать.

   • Если вы используете Azure CLI локально, сначала войдите в Azure CLI, а затем убедитесь , что контекст Azure установлен в подписке, которую вы хотите использовать.

2. Найдите идентификатор подписки, к которой вы хотите добавить назначение ролей, перечислив все доступные вам с помощью следующей команды:

   az account list --output table
   

3. Сохраните значение SubscriptionId в переменной, выполнив следующую команду, заменив идентификатор подписки в этом примере собственным:

   subId=00000000-0000-0000-0000-000000000000
   

4. Назначьте роль субъекту-службе Виртуального рабочего стола Azure, выполнив следующую команду, заменив значение параметра role именем роли, которую необходимо назначить, и assignee параметр с идентификатором приложения субъекта-службы, который вы хотите назначить из предыдущей таблицы. В этом примере роль Участника включения и выключения виртуализации рабочего стола назначается на служебный принципал Виртуального рабочего стола Azure в подписке:

   az role assignment create \
       --assignee "9cdead84-a844-4324-93f2-b2e6bb768d07" \
       --role "Desktop Virtualization Power On Off Contributor" \
       --scope "/subscriptions/$subId"
   

   Выходные данные должны быть похожи на следующий пример:

   {
     "condition": null,
     "conditionVersion": null,
     "createdBy": null,
     "createdOn": "2023-06-22T13:50:22.978226+00:00",
     "delegatedManagedIdentityResourceId": null,
     "description": null,
     "id": "/subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleAssignments/a211100e-aa52-4f8d-aac9-ad0833f969d0",
     "name": "a211100e-aa52-4f8d-aac9-ad0833f969d0",
     "principalId": "00000000-0000-0000-0000-000000000000",
     "principalType": "ServicePrincipal",
     "roleDefinitionId": "/subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleDefinitions/40c5ff49-9181-41f8-ae61-143b0e78555e",
     "scope": "/subscriptions/00000000-0000-0000-0000-000000000000",
     "type": "Microsoft.Authorization/roleAssignments",
     "updatedBy": "effe20b0-5afb-4e68-a5d7-f8ef9873a070",
     "updatedOn": "2023-06-22T13:50:23.335229+00:00"
   }