az role deny-assignment

Управление запретами назначений.

Запрещающие назначения блокируют выполнение определенных действий ресурсов Azure пользователями, даже если назначение роли предоставляет им доступ. Назначенные пользователем назначения запрета можно создать для запрета операций записи, удаления и действий в заданной области, исключая определенные субъекты.

Команды

Имя	Описание	Тип	Состояние
az role deny-assignment create	Создайте назначение запрета, назначаемое пользователем.	Core	GA
az role deny-assignment delete	Удаление назначения запрета, назначаемого пользователем.	Core	GA
az role deny-assignment list	Вывод списка запрещенных назначений.	Core	GA
az role deny-assignment show	Получение назначения запрета.	Core	GA

az role deny-assignment create

Изменить

Создайте назначение запрета, назначаемое пользователем.

Создает назначение запрета, которое блокирует определенные действия в заданной области. Поддерживаются два режима: (1) Каждый режим (по умолчанию) — запрещает действия для всех субъектов, требуя по крайней мере одного исключенного субъекта; (2) Режим каждого субъекта — запрещает действия для определенного пользователя или ServicePrincipal, указанного через --principal-object-id. DataActions не поддерживается, DoNotApplyToChildScopes не поддерживается, действия чтения (*/чтение) не разрешены, а субъекты типа группы запрещены.

az role deny-assignment create [--acquire-policy-token]
                               [--actions]
                               [--assignment-name]
                               [--change-reference]
                               [--description]
                               [--exclude-principal-ids]
                               [--exclude-principal-types]
                               [--name]
                               [--not-actions]
                               [--principal-object-id]
                               [--principal-type {ServicePrincipal, User}]
                               [--scope]

Примеры

Создание запретного назначения, блокирующего назначение роли, записывается для всех, за исключением субъекта-службы.

az role deny-assignment create --name "Block role assignment changes" --scope /subscriptions/00000000-0000-0000-0000-000000000000 --actions "Microsoft.Authorization/roleAssignments/write" "Microsoft.Authorization/roleAssignments/delete" --exclude-principal-ids 00000000-0000-0000-0000-000000000001 --exclude-principal-types ServicePrincipal

Создайте назначение запрета, предназначенное для конкретного пользователя.

az role deny-assignment create --name "Deny resource deletion for user" --scope /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myGroup --actions "*/delete" --principal-object-id 00000000-0000-0000-0000-000000000001 --principal-type User

Создайте назначение запрета, предназначенное для определенного субъекта-службы с исключениями.

az role deny-assignment create --name "Deny write actions for app" --scope /subscriptions/00000000-0000-0000-0000-000000000000 --actions "*/write" --principal-object-id 00000000-0000-0000-0000-000000000001 --principal-type ServicePrincipal --exclude-principal-ids 00000000-0000-0000-0000-000000000002 --exclude-principal-types ServicePrincipal --description "Block write operations for this application"

Необязательные параметры

Следующие параметры являются необязательными, но в зависимости от контекста один или несколько могут потребоваться для успешного выполнения команды.

--acquire-policy-token

Автоматическое получение маркера Политика Azure для этой операции ресурса.

Свойство	Значение
Группа параметров:	Global Policy Arguments

--actions

Разделенный пробелами список действий для запрета, например "Microsoft. Authorization/roleAssignments/write. Примечание. Действия чтения (*/чтение) запрещены для назначений запрета, назначенных пользователем.

--assignment-name

GUID для назначения запрета. Если опущено, создается новый GUID.

--change-reference

Связанный идентификатор ссылки на изменение для этой операции ресурса.

Свойство	Значение
Группа параметров:	Global Policy Arguments

--description

Описание назначения запрета.

--exclude-principal-ids

Разделенный пробелами список идентификаторов основных объектов, которые следует исключить из запрета. Требуется, если параметр --principal-object-id указан (все режимы). Необязательный параметр при указании идентификатора --principal-object-id.

--exclude-principal-types

Разделенный пробелами список типов субъектов, соответствующих идентификаторам --exclude-principal-ids. Принятые значения: User, Group, ServicePrincipal.

--name -n

Отображаемое имя отказа в назначении.

--not-actions

Разделенный пробелами список действий, которые следует исключить из запрета.

--principal-object-id

Идентификатор объекта определенного пользователя или ServicePrincipal, который требуется запретить. Если опущено, назначение запрета применяется ко всем (всем субъектам) и --exclude-principal-ids является обязательным. Субъекты группы не допускаются.

--principal-type

Тип субъекта, указанного идентификатором --principal-object-id. Требуется при указании идентификатора --principal-object-id. Принятые значения: User, ServicePrincipal.

Свойство	Значение
Допустимые значения:	ServicePrincipal, User

--scope

Область, в которой применяется назначение запрета. Например, /subscriptions/000000000-0000-0000-0000-00000000000 или /subscriptions/00000000-0000-0000-0000-00000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000

Глобальные параметры

--debug

Повышение уровня детализации журнала для включения всех журналов отладки.

Свойство	Значение
Значение по умолчанию:	False

--help -h

Показать это сообщение справки и выйти.

--only-show-errors

Отображать только ошибки, не показывая предупреждения.

Свойство	Значение
Значение по умолчанию:	False

--output -o

Формат вывода.

Свойство	Значение
Значение по умолчанию:	json
Допустимые значения:	json, jsonc, none, table, tsv, yaml, yamlc

--query

Строка запроса JMESPath. Дополнительные сведения и примеры см. в разделе http://jmespath.org/.

--subscription

Имя или идентификатор подписки Подписку по умолчанию можно настроить с помощью az account set -s NAME_OR_ID.

--verbose

Увеличьте уровень детализации ведения журнала. Чтобы включить полные журналы отладки, используйте параметр --debug.

Свойство	Значение
Значение по умолчанию:	False

az role deny-assignment delete

Изменить

Удаление назначения запрета, назначаемого пользователем.

az role deny-assignment delete [--acquire-policy-token]
                               [--change-reference]
                               [--id]
                               [--name]
                               [--scope]
                               [--yes]

Примеры

Удалите назначение запрета по полному идентификатору.

az role deny-assignment delete --id /subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/denyAssignments/00000000-0000-0000-0000-000000000001

Удалите отклонение назначения по имени и области.

az role deny-assignment delete --name 00000000-0000-0000-0000-000000000001 --scope /subscriptions/00000000-0000-0000-0000-000000000000

Необязательные параметры

--acquire-policy-token

Автоматическое получение маркера Политика Azure для этой операции ресурса.

Свойство	Значение
Группа параметров:	Global Policy Arguments

--change-reference

Связанный идентификатор ссылки на изменение для этой операции ресурса.

Свойство	Значение
Группа параметров:	Global Policy Arguments

--id

Полный идентификатор удаления назначения запрета.

--name -n

Имя (GUID) назначения запрета для удаления.

--scope

Область, в которой применяется назначение запрета. Например, /subscriptions/000000000-0000-0000-0000-00000000000 или /subscriptions/00000000-00000-0000-0000-0000000000000000000000000/resourceGroups/myGroups.

--yes -y

Не запрашивать подтверждение.

Свойство	Значение
Значение по умолчанию:	False

Глобальные параметры

--debug

Повышение уровня детализации журнала для включения всех журналов отладки.

Свойство	Значение
Значение по умолчанию:	False

--help -h

Показать это сообщение справки и выйти.

--only-show-errors

Отображать только ошибки, не показывая предупреждения.

Свойство	Значение
Значение по умолчанию:	False

--output -o

Формат вывода.

Свойство	Значение
Значение по умолчанию:	json
Допустимые значения:	json, jsonc, none, table, tsv, yaml, yamlc

--query

Строка запроса JMESPath. Дополнительные сведения и примеры см. в разделе http://jmespath.org/.

--subscription

Имя или идентификатор подписки Подписку по умолчанию можно настроить с помощью az account set -s NAME_OR_ID.

--verbose

Свойство	Значение
Значение по умолчанию:	False

az role deny-assignment list

Изменить

Вывод списка запрещенных назначений.

az role deny-assignment list [--filter]
                             [--scope]

Примеры

Список запрещенных назначений в области подписки.

az role deny-assignment list --scope /subscriptions/00000000-0000-0000-0000-000000000000

Список всех отклонений назначений в текущей подписке.

az role deny-assignment list

Вывод списка запрещенных назначений в области группы ресурсов.

az role deny-assignment list --scope /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myGroup

Необязательные параметры

--filter

Применяемое выражение фильтра OData. Например, "atScope()" для перечисления в текущей области или gdprExportPrincipalId eq "{objectId}", чтобы получить список для определенного субъекта.

--scope

Глобальные параметры

--debug

Повышение уровня детализации журнала для включения всех журналов отладки.

Свойство	Значение
Значение по умолчанию:	False

--help -h

Показать это сообщение справки и выйти.

--only-show-errors

Отображать только ошибки, не показывая предупреждения.

Свойство	Значение
Значение по умолчанию:	False

--output -o

Формат вывода.

Свойство	Значение
Значение по умолчанию:	json
Допустимые значения:	json, jsonc, none, table, tsv, yaml, yamlc

--query

Строка запроса JMESPath. Дополнительные сведения и примеры см. в разделе http://jmespath.org/.

--subscription

Имя или идентификатор подписки Подписку по умолчанию можно настроить с помощью az account set -s NAME_OR_ID.

--verbose

Свойство	Значение
Значение по умолчанию:	False

az role deny-assignment show

Изменить

Получение назначения запрета.

az role deny-assignment show [--id]
                             [--name]
                             [--scope]

Примеры

Отображение назначения запрета по полному идентификатору.

az role deny-assignment show --id /subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/denyAssignments/00000000-0000-0000-0000-000000000001

Отображение назначения запрета по имени и области.

az role deny-assignment show --name 00000000-0000-0000-0000-000000000001 --scope /subscriptions/00000000-0000-0000-0000-000000000000

Необязательные параметры

--id

Полный идентификатор назначения запрета, включая область, например /subscriptions/{id}/providers/Microsoft. Авторизация/denyAssignments/{denyAssignmentId}.

--name -n

Имя (GUID) назначения запрета.

--scope

Глобальные параметры

--debug

Повышение уровня детализации журнала для включения всех журналов отладки.

Свойство	Значение
Значение по умолчанию:	False

--help -h

Показать это сообщение справки и выйти.

--only-show-errors

Отображать только ошибки, не показывая предупреждения.

Свойство	Значение
Значение по умолчанию:	False

--output -o

Формат вывода.

Свойство	Значение
Значение по умолчанию:	json
Допустимые значения:	json, jsonc, none, table, tsv, yaml, yamlc

--query

Строка запроса JMESPath. Дополнительные сведения и примеры см. в разделе http://jmespath.org/.

--subscription

Имя или идентификатор подписки Подписку по умолчанию можно настроить с помощью az account set -s NAME_OR_ID.

--verbose

Свойство	Значение
Значение по умолчанию:	False

Обратная связь

Были ли сведения на этой странице полезными?