Roluri clasice de administrator de abonament, roluri Azure si roluri Azure AD

• 20.05.2021
• 7 minute de citit

• • r

  • j

  • c

  • D

  • l

In acest articol

Daca sunteti nou in Azure, s-ar putea sa va fie putin dificil sa intelegeti toate rolurile diferite in Azure. Acest articol va explica urmatoarele roluri si cand le veti folosi pe fiecare:

• Roluri clasice de administrator de abonament
• Roluri azur
• Roluri Azure Active Directory (Azure AD)

Cum sunt legate rolurile

Pentru a intelege mai bine rolurile din Azure, va ajuta sa cunoasteti o parte din istorie. Cand Azure a fost lansat initial, accesul la resurse a fost gestionat cu doar trei roluri de administrator: Administrator de cont, Administrator de servicii si Co-Administrator. Ulterior, a fost adaugat controlul accesului bazat pe rolul Azure (Azure RBAC). Azure RBAC este un sistem de autorizare mai nou, care ofera o gestionare a accesului fina la resursele Azure. Azure RBAC include multe roluri incorporate, poate fi atribuit la diferite domenii si va permite sa creati propriile roluri personalizate. Pentru a gestiona resursele in Azure AD, cum ar fi utilizatorii, grupurile si domeniile, exista mai multe roluri Azure AD.

Urmatoarea diagrama este o vedere de nivel inalt a modului in care sunt legate rolurile clasice de administrator de abonament, rolurile Azure si rolurile Azure AD.

Roluri clasice de administrator de abonament

Administratorul de cont, administratorul de servicii si co-administratorul sunt cele trei roluri clasice de administrator de abonament in Azure. Administratorii clasici de abonament au acces complet la abonamentul Azure. Acestia pot gestiona resursele utilizand portalul Azure, API-urile Azure Resource Manager si API-urile clasice ale modelului de implementare. Contul care este utilizat pentru a va inscrie la Azure este setat automat atat ca administrator de cont, cat si ca administrator de servicii. Apoi, pot fi adaugati co-administratori suplimentari. Administratorul de servicii si co-administratorii au acces echivalent cu utilizatorii carora li s-a atribuit rolul de proprietar (un rol Azure) in domeniul abonamentului. Tabelul urmator descrie diferentele dintre aceste trei roluri administrative clasice de abonament.

Administrator de abonament clasic Limitati permisiunile Note Administrator de cont 1 pentru fiecare cont Azure

• Poate accesa portalul Azure si gestiona facturarea
• Gestionati facturarea pentru toate abonamentele din cont
• Creati abonamente noi
• Anulati abonamentele
• Schimbati facturarea pentru un abonament
• Schimbati administratorul serviciului
• Abonamentele nu pot fi anulate decat daca au rolul de administrator de serviciu sau de proprietar al abonamentului

Conceptual, proprietarul facturarii abonamentului. Administrator de servicii 1 pentru fiecare abonament Azure

• Gestionati serviciile in portalul Azure
• Anulati abonamentul
• Alocati utilizatorilor rolul de co-administrator

In mod implicit, pentru un nou abonament, administratorul contului este, de asemenea, administratorul serviciului.

Administratorul de servicii are accesul echivalent al unui utilizator caruia i se atribuie rolul de proprietar in domeniul abonamentului.

Administratorul de servicii are acces complet la portalul Azure. Co-Administrator 200 pe abonament

• Aceleasi privilegii de acces ca si administratorul serviciului, dar nu poate schimba asocierea abonamentelor la directoarele Azure
• Alocati utilizatorilor rolul de co-administrator, dar nu puteti schimba administratorul de servicii

Co-administratorul are acces echivalent cu un utilizator caruia i se atribuie rolul de proprietar in domeniul abonamentului.

In portalul Azure, puteti gestiona co-administratorii sau vizualiza administratorul de servicii utilizand fila Administratori clasici .

In portalul Azure, puteti vizualiza sau modifica administratorul de servicii sau vizualiza administratorul de cont pe lama de proprietati a abonamentului dvs.

Pentru mai multe informatii, consultati Administratorii de abonament clasic Azure.

Cont Azure si abonamente Azure

Un cont Azure reprezinta o relatie de facturare. Un cont Azure este o identitate de utilizator, unul sau mai multe abonamente Azure si un set asociat de resurse Azure. Persoana care creeaza contul este administratorul contului pentru toate abonamentele create in acel cont. Aceasta persoana este, de asemenea, administratorul prestabilit al serviciului pentru abonament.

Abonamentele Azure va ajuta sa organizati accesul la resursele Azure. De asemenea, va ajuta sa controlati modul in care este raportata, facturata si platita utilizarea resurselor. Fiecare abonament poate avea o configurare de facturare si plata diferita, astfel incat sa puteti avea abonamente diferite si planuri diferite in functie de birou, departament, proiect si asa mai departe. Fiecare serviciu apartine unui abonament, iar ID-ul abonamentului poate fi necesar pentru operatiuni programatice.

Fiecare abonament este asociat cu un director Azure AD. Pentru a gasi directorul cu care este asociat abonamentul , deschideti Abonamente in portalul Azure si apoi selectati un abonament pentru a vedea directorul.

Conturile si abonamentele sunt gestionate in portalul Azure.

Roluri azur

Azure RBAC este un sistem de autorizare construit pe Azure Resource Manager care asigura o gestionare fina a accesului la resurse Azure, cum ar fi calculul si stocarea. Azure RBAC include peste 70 de roluri incorporate. Exista patru roluri fundamentale Azure. Primele trei se aplica tuturor tipurilor de resurse:

Rol Azure Permisiuni Note Proprietar

• Acces complet la toate resursele
• Delegati accesul catre altii

Administratorul serviciului si co-administratorii au atribuit rolul de proprietar in domeniul abonamentului

Se aplica tuturor tipurilor de resurse. Colaborator

• Creati si gestionati toate tipurile de resurse Azure
• Creati un nou chirias in Azure Active Directory
• Nu se poate acorda acces altora

Se aplica tuturor tipurilor de resurse. Cititor

• Vizualizati resursele Azure

Se aplica tuturor tipurilor de resurse. Administrator de acces utilizator

• Gestionati accesul utilizatorilor la resursele Azure

Restul rolurilor incorporate permit gestionarea anumitor resurse Azure. De exemplu, rolul de masina virtuala permite utilizatorului sa creeze si sa gestioneze masini virtuale. Pentru o lista cu toate rolurile incorporate, consultati Rolurile incorporate Azure.

Doar portalul Azure si API-urile Azure Resource Manager accepta Azure RBAC. Utilizatorii, grupurile si aplicatiile carora li se atribuie roluri Azure nu pot utiliza API-urile modelului de implementare clasic Azure.

In portalul Azure, alocarile de roluri care utilizeaza Azure RBAC apar pe lama Control acces (IAM) . Aceasta lama poate fi gasita in intregul portal, cum ar fi grupuri de gestionare, abonamente, grupuri de resurse si diverse resurse.

Cand faceti clic pe fila Roluri , veti vedea lista rolurilor incorporate si personalizate.

Pentru mai multe informatii, consultati Atribuirea rolurilor Azure utilizand portalul Azure.

Roluri AD Azure

Rolurile Azure AD sunt utilizate pentru a gestiona resursele Azure AD intr-un director, cum ar fi crearea sau editarea utilizatorilor, atribuirea rolurilor administrative altora, resetarea parolelor utilizatorilor, gestionarea licentelor utilizatorilor si gestionarea domeniilor. Tabelul urmator descrie cateva dintre cele mai importante roluri Azure AD.

Rol Azure AD Permisiuni Note Administrator global

• Gestionati accesul la toate caracteristicile administrative din Azure Active Directory, precum si la serviciile care se federeaza in Azure Active Directory
• Atribuiti roluri de administrator altora
• Resetati parola pentru orice utilizator si toti ceilalti administratori

Persoana care se inscrie pentru chiriasul Azure Active Directory devine administrator global. Administrator utilizator

• Creati si gestionati toate aspectele utilizatorilor si grupurilor
• Gestionati biletele de asistenta
• Monitorizati sanatatea serviciului
• Schimbati parolele pentru utilizatori, administratori ai biroului de asistenta si alti administratori de utilizatori

Administrator de facturare

• Faceti cumparaturi
• Gestionati abonamentele
• Gestionati biletele de asistenta
• Monitorizeaza sanatatea serviciului

In portalul Azure, puteti vedea lista rolurilor Azure AD pe pachetul Roluri si administratori . Pentru o lista cu toate rolurile Azure AD, consultati Permisiuni rol administrator in Azure Active Directory.

Diferentele dintre rolurile Azure si rolurile Azure AD

La un nivel ridicat, rolurile Azure controleaza permisiunile pentru gestionarea resurselor Azure, in timp ce rolurile Azure AD controleaza permisiunile pentru gestionarea resurselor Azure Active Directory. Tabelul urmator compara unele dintre diferente.

Roluri Azure Roluri Azure AD Gestionati accesul la resursele Azure Gestionati accesul la resursele Azure Active Directory Accepta roluri personalizate Accepta roluri personalizate Domeniul de aplicare poate fi specificat la mai multe niveluri (grup de gestionare, abonament, grup de resurse, resursa) Domeniul de aplicare poate fi specificat la nivelul chiriasului ( la nivel de organizatie), unitate administrativa sau pe un obiect individual (de exemplu, o anumita aplicatie) Informatiile despre roluri pot fi accesate in portalul Azure, Azure CLI, Azure PowerShell, sabloanele Azure Resource Manager, informatiile despre rolul API REST pot fi accesate in Azure portal de administrare, centru de administrare Microsoft 365, Microsoft Graph, AzureAD PowerShell

Rolurile Azure si rolurile Azure AD se suprapun?

In mod implicit, rolurile Azure si rolurile Azure AD nu se intind pe Azure si Azure AD. Cu toate acestea, daca un administrator global isi creste accesul alegand comutatorul Gestionare acces pentru resurse Azure din portalul Azure, administratorului global i se va acorda rolul de administrator acces utilizator (un rol Azure) pentru toate abonamentele pentru un anumit chirias. Rolul de administrator al accesului utilizatorului permite utilizatorului sa acorde altor utilizatori acces la resursele Azure. Acest comutator poate fi util pentru a recastiga accesul la un abonament. Pentru mai multe informatii, consultati Acces ridicat pentru a gestiona toate abonamentele si grupurile de gestionare Azure.

Mai multe roluri Azure AD acopera Azure AD si Microsoft 365, cum ar fi rolurile de administrator global si administrator de utilizator. De exemplu, daca sunteti membru al rolului de administrator global, aveti capabilitati de administrator global in Azure AD si Microsoft 365, cum ar fi modificarea Microsoft Exchange si Microsoft SharePoint. Cu toate acestea, in mod implicit, administratorul global nu are acces la resursele Azure.

Pasii urmatori

• Ce este controlul accesului bazat pe rolurile Azure (Azure RBAC)?
• Permisiuni de rol de administrator in Azure Active Directory
• Administratori de abonament clasic Azure