Назначение ролей Azure RBAC или Microsoft Entra ролей субъектам-службам Виртуального рабочего стола Azure

Вот как назначить роль Azure RBAC субъекту-службе Виртуального рабочего стола Azure с областью действия подписки с помощью портал Azure.

1. Войдите на портал Azure.

2. В поле поиска введите Microsoft Entra ID и выберите соответствующую запись службы.

3. На странице Обзор в поле поиска поиск клиента введите идентификатор приложения для субъекта-службы, который вы хотите назначить из предыдущей таблицы.

4. В результатах выберите соответствующее корпоративное приложение для субъекта-службы, который вы хотите назначить, начиная с Виртуального рабочего стола Azure или Виртуального рабочего стола Windows.

5. В разделе свойства запишите имя и идентификатор объекта. Идентификатор объекта коррелирует с идентификатором приложения и уникален для вашего клиента.

6. Назад в поле поиска введите Подписки и выберите соответствующую запись службы.

7. Выберите подписку, в которую нужно добавить назначение ролей.

8. Выберите Управление доступом (IAM) и нажмите + Добавить , а затем — Добавить назначение ролей.

9. Выберите роль, которую нужно назначить субъекту-службе Виртуального рабочего стола Azure, а затем нажмите кнопку Далее.

10. Убедитесь, что для параметра Назначить доступ для задано значение Microsoft Entra пользователя, группы или субъекта-службы, а затем выберите Выбрать участников.

11. Введите имя корпоративного приложения, которое вы записали ранее.

12. Выберите соответствующую запись в результатах, а затем нажмите кнопку Выбрать. Если у вас есть две записи с одинаковым именем, выберите их оба.

13. Просмотрите список элементов в таблице. Если у вас две записи, удалите запись, которая не соответствует идентификатору объекта, который вы записали ранее.

14. Нажмите кнопку Далее, а затем выберите Проверить и назначить , чтобы завершить назначение роли.

Вот как назначить роль Azure RBAC субъекту-службе Виртуального рабочего стола Azure с областью действия подписки с помощью модуля PowerShell Az.DesktopVirtualization .

1. Откройте azure Cloud Shell в портал Azure с типом терминала PowerShell или запустите PowerShell на локальном устройстве.

   • Если вы используете Cloud Shell, убедитесь, что для контекста Azure задана подписка, которую вы хотите использовать.

   • Если вы используете PowerShell локально, сначала войдите с помощью Azure PowerShell, а затем убедитесь, что для контекста Azure задана подписка, которую вы хотите использовать.

2. Найдите идентификатор подписки, в которую вы хотите добавить назначение ролей, со списком всех доступных вам с помощью следующей команды:

   Get-AzSubscription
   

3. Сохраните идентификатор подписки в переменной, выполнив следующую команду, заменив идентификатор подписки в этом примере собственным:

   $subId = "<SubscriptionID>"
   

4. Назначьте роль субъекту-службе Виртуального рабочего стола Azure, выполнив следующую команду, заменив значение RoleDefinitionName параметра именем роли, которую необходимо назначить, и ApplicationId параметром с идентификатором приложения субъекта-службы, который вы хотите назначить из предыдущей таблицы. В этом примере субъекту-службе "Виртуальный рабочий стол Azure" в подписке назначается роль Участника Power On Off для Виртуализации рабочих столов:

   $parameters = @{
       RoleDefinitionName = "Desktop Virtualization Power On Off Contributor"
       ApplicationId = "9cdead84-a844-4324-93f2-b2e6bb768d07"
       Scope = "/subscriptions/$subId"
   }
   
   New-AzRoleAssignment @parameters
   

   Выходные данные должны выглядеть примерно так:

   RoleAssignmentName : c5221262-d1fa-4d32-9d60-8bd86f618d20
   RoleAssignmentId   : /subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleAssignments/c5221262-d1fa-4d32-9d60-8bd86f618d20
   Scope              : /subscriptions/00000000-0000-0000-0000-000000000000
   DisplayName        : Azure Virtual Desktop
   SignInName         : 
   RoleDefinitionName : Desktop Virtualization Power On Off Contributor
   RoleDefinitionId   : 40c5ff49-9181-41f8-ae61-143b0e78555e
   ObjectId           : aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
   ObjectType         : ServicePrincipal
   CanDelegate        : False
   Description        : 
   ConditionVersion   : 
   Condition          :
   

Вот как назначить роль Azure RBAC субъекту-службе Виртуального рабочего стола Azure с областью действия подписки с помощью расширения desktopvirtualization для Azure CLI.

1. Откройте azure Cloud Shell в портал Azure с типом терминала Bash или запустите Azure CLI на локальном устройстве.

   • Если вы используете Cloud Shell, убедитесь, что для контекста Azure задана подписка, которую вы хотите использовать.

   • Если вы используете Azure CLI локально, сначала войдите с помощью Azure CLI, а затем убедитесь, что для контекста Azure задана подписка, которую вы хотите использовать.

2. Найдите идентификатор подписки, в которую вы хотите добавить назначение ролей, со списком всех доступных вам с помощью следующей команды:

   az account list --output table
   

3. Сохраните значение SubscriptionId в переменной, выполнив следующую команду, заменив идентификатор подписки в этом примере собственным:

   subId=00000000-0000-0000-0000-000000000000
   

4. Назначьте роль субъекту-службе Виртуального рабочего стола Azure, выполнив следующую команду, заменив значение role параметра именем роли, которую необходимо назначить, и assignee параметром с идентификатором приложения субъекта-службы, который вы хотите назначить из предыдущей таблицы. В этом примере субъекту-службе "Виртуальный рабочий стол Azure" в подписке назначается роль Участника Power On Off для Виртуализации рабочих столов:

   az role assignment create \
       --assignee "9cdead84-a844-4324-93f2-b2e6bb768d07" \
       --role "Desktop Virtualization Power On Off Contributor" \
       --scope "/subscriptions/$subId"
   

   Выходные данные должны выглядеть примерно так:

   {
     "condition": null,
     "conditionVersion": null,
     "createdBy": null,
     "createdOn": "2023-06-22T13:50:22.978226+00:00",
     "delegatedManagedIdentityResourceId": null,
     "description": null,
     "id": "/subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleAssignments/a211100e-aa52-4f8d-aac9-ad0833f969d0",
     "name": "a211100e-aa52-4f8d-aac9-ad0833f969d0",
     "principalId": "00000000-0000-0000-0000-000000000000",
     "principalType": "ServicePrincipal",
     "roleDefinitionId": "/subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleDefinitions/40c5ff49-9181-41f8-ae61-143b0e78555e",
     "scope": "/subscriptions/00000000-0000-0000-0000-000000000000",
     "type": "Microsoft.Authorization/roleAssignments",
     "updatedBy": "effe20b0-5afb-4e68-a5d7-f8ef9873a070",
     "updatedOn": "2023-06-22T13:50:23.335229+00:00"
   }