• 08.08.2020
  • 2 minute de citit

    • r

In acest articol

Domeniul de aplicare este setul de resurse la care se aplica accesul. Cand atribuiti un rol, este important sa intelegeti domeniul de aplicare, astfel incat sa puteti acorda unui director de securitate doar accesul de care are nevoie cu adevarat. Limitand domeniul de aplicare, limitati ce resurse sunt expuse riscului daca principalul de securitate este vreodata compromis.

Nivelurile domeniului de aplicare

In Azure, puteti specifica un domeniu de aplicare la patru niveluri: grup de gestionare, abonament, grup de resurse si resursa. Domeniile de aplicare sunt structurate intr-o relatie parinte-copil. Fiecare nivel de ierarhie face ca domeniul de aplicare sa fie mai specific. Puteti atribui roluri la oricare dintre aceste niveluri de aplicare. Nivelul pe care il selectati determina cat de mult este aplicat rolul. Nivelurile inferioare mostenesc permisiunile de rol de la nivelurile superioare.

Grupurile de management sunt un nivel de domeniu de aplicare peste abonamente, dar grupurile de management accepta ierarhii mai complexe. Urmatoarea diagrama prezinta un exemplu de ierarhie a grupurilor de management si a abonamentelor pe care le puteti defini. Pentru mai multe informatii despre grupurile de gestionare, consultati Ce sunt grupurile de gestionare Azure ?.

Formatul domeniului de aplicare

Daca atribuiti roluri folosind linia de comanda, va trebui sa specificati domeniul de aplicare. Pentru instrumentele din linia de comanda, domeniul de aplicare este un sir potential lung care identifica domeniul de aplicare exact al atribuirii rolului. In portalul Azure, acest domeniu este de obicei listat ca ID de resursa .

Domeniul de aplicare consta dintr-o serie de identificatori separati prin caracterul slash (/). Va puteti gandi la acest sir ca exprimand urmatoarea ierarhie, unde textul fara substituenti ({}) sunt identificatori fixi:

/ subscriptions / {subscriptionId} / resourcegroups / {resourceGroupName} / providers / {providerName} / {resourceType} / {resourceSubType1} / {resourceSubType2} / {resourceName}

Grupurile de management sunt cu un nivel peste abonamente si au cel mai larg domeniu (cel mai putin specific). Alocarile de roluri la acest nivel se aplica abonamentelor din cadrul grupului de management. Domeniul de aplicare pentru un grup de management are urmatorul format:

/ providers /Microsoft.Management / managementGroups / {managmentGroupName}

Exemple de domeniu

Domeniu de aplicare Grup de gestionare / furnizori / Microsoft.Management/managementGroups/marketing-group Subscription / subscriptions / 00000000-0000-0000-0000-000000000000 Resource group / subscriptions / 00000000-0000-0000-0000-000000000000 / resourceGroups / Example-Storage- rg / subscriptions / 00000000-0000-0000-0000-00000000000000 / resourceGroups / pharma-sales Resource /subscriptions/00000000-0000-0000-0000-00000000000000/resourceGroups/Example-Storage-rg/providers/Microsoft.Storage/storageAccounts/azurestor / blobServices / default / containers / blob-container-01 /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/MyVirtualNetworkResourceGroup/providers/Microsoft.Network/virtualNetworks/MyVirtualNetwork12345

Cum se determina domeniul de aplicare al unei resurse

Este destul de simplu sa se determine domeniul de aplicare pentru un grup de management, abonament sau grup de resurse. Trebuie doar sa stiti numele si ID-ul abonamentului. Cu toate acestea, determinarea scopului unei resurse necesita un pic mai mult de lucru. Iata cateva modalitati prin care puteti determina domeniul de aplicare al unei resurse.

  • In portalul Azure, deschideti resursa si apoi uitati-va la proprietati. Resursa ar trebui sa listeze ID-ul resursei unde puteti determina domeniul de aplicare. De exemplu, aici sunt ID-urile resurselor pentru un cont de stocare.

  • O alta modalitate este de a utiliza portalul Azure pentru a atribui temporar un rol la sfera resursei si de a utiliza Azure PowerShell sau Azure CLI pentru a lista atribuirea rolului. In rezultat, domeniul de aplicare va fi listat ca o proprietate.

    RoleAssignmentId: /subscriptions/<subscriptionId>/resourceGroups/test-rg/providers/Microsoft.Storage/storageAccounts/azurestorage12345/blobServices/default/containers/blob-container-01/pro viders / Microsoft.Authorment / Microsoft.Authorment : /subscriptions/<subscriptionId>/resourceGroups/test-rg/providers/Microsoft.Storage/storageAccounts/azurestorage12345/blobServices/default/containers/blob-container-01 DisplayName: User SignInName: [email protected] Role Reader RoleDefinitionId: 2a2b9908-6ea1-4ae2-8e65-a410df84e7d1 ObjectId: <principalId> ObjectType: User CanDelegate: False Descriere: ConditionVersion: Condition: {“canDelegate”: null, “condition”: null, “conditionVersion”: null “: nul,” id “:„/subscriptions/{subscriptionId}/resourceGroups/Example-Storage-rg/providers/Microsoft.Storage/storageAccounts/azurestorage12345/blobServices/default/containers/blob-container-01/providers/Microsoft.Authorization/rss , “name”: “{roleAssignmentId}”, “principalId”: “{principalId}”, “principalName”: “[email protected]”, “principalType”: “Utilizator”, “resourceGroup”: “test-rg” , “roleDefinitionId”: “/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/roleDefinitions/2a2b9908-6ea1-4ae2-8e65-a410df84e7d1”, “roleDefinitionName”: “Storage Blob Data Reader”, “scope”: ” / {subscriptionId} / resourceGroups / Example-Storage-rg / providers / Microsoft.Storage / storageAccounts / azurestorage12345 / blobServices / default / containers / blob-container-01 “,” type “:” Microsoft.Authorization / roleAssignments “}

Pasii urmatori

  • Pasi pentru atribuirea unui rol Azure
  • Furnizori de resurse pentru serviciile Azure
  • Ce sunt grupurile de gestionare Azure?

ARTICOLE SIMILAREDE LA ACELAȘI AUTOR