Hantera rollbehörigheter och säkerhet i Azure Automation

Rollbaserad åtkomstkontroll i Azure (Azure RBAC) möjliggör åtkomsthantering för Azure-resurser. Med Hjälp av Azure RBAC kan du separera uppgifter inom ditt team och endast bevilja den mängd åtkomst till användare, grupper och program som de behöver för att utföra sina jobb. Du kan ge rollbaserad åtkomst till användare som använder Azure-portalen, Azure-kommandoradsverktygen eller Azure Management-API:er.

Roller i Automation-konton

I Azure Automation beviljas åtkomst genom att lämplig Azure-roll tilldelas till användare, grupper och program i Automation-kontoomfånget. Följande är de inbyggda roller som stöds av ett Automation-konto:

Rollbehörigheter

I följande tabeller beskrivs de specifika behörigheter som ges till varje roll. Detta kan omfatta åtgärder som ger behörigheter och inte åtgärder som begränsar dem.

Ägare

En ägare kan hantera allt, inklusive åtkomst. Följande tabell visar de behörigheter som beviljats för rollen:

Deltagare

En medarbetare kan hantera allt förutom åtkomst. Följande tabell visar de behörigheter som beviljats och nekats för rollen:

Läsare

En läsare kan visa alla resurser i ett Automation-konto men inte göra några ändringar.

Automation-bidragsgivare

En Automation-deltagare kan hantera alla resurser i Automation-kontot förutom åtkomst. Följande tabell visar de behörigheter som beviljats för rollen:

Automation-operatör

En Automation-operatör kan skapa och hantera jobb och läsa namn och egenskaper för alla runbooks i ett Automation-konto.

Följande tabell visar de behörigheter som beviljats för rollen:

Automation Job Operatör

En roll för Automation-jobboperatör beviljas i Automation-kontoomfånget. Därmed kan operatören skapa och hantera jobb för alla runbooks i kontot. Om rollen Jobboperatör beviljas läsbehörighet för resursgruppen som innehåller Automation-kontot kan rollmedlemmarna starta runbooks. De har emellertid inte möjlighet att skapa, redigera eller ta bort dem.

Följande tabell visar de behörigheter som beviljats för rollen:

Automationsrunbok-operatör

En roll som Automation Runbook-operatör beviljas på Runbook-nivå. En Automation-runbookoperatör kan visa runbokens namn och egenskaper. Med den här rollen, i kombination med rollen som Automation Job Operator, kan operatören även skapa och hantera jobb för runbooken. Följande tabell visar de behörigheter som beviljats för rollen:

Bidragsgivare för Logganalys

En Log Analytics-deltagare kan läsa all övervakningsdata och redigera övervakningsinställningar. Redigering av övervakningsinställningar inkluderar att lägga till VM-tillägget till virtuella datorer, läsa lagringskontonycklar för att konfigurera insamling av loggar från Azure Storage, skapa och konfigurera Automation-konton, lägga till Azure Automation-funktioner samt konfigurera Azure Diagnostics i alla Azure-resurser. Följande tabell visar de behörigheter som beviljats för rollen:

Log Analytics-läsare

En Log Analytics-läsare kan visa och söka i all övervakningsdata och även visa övervakningsinställningar, inklusive att visa konfigurationen av Azure-diagnostik i alla Azure-resurser. Följande tabell visar de behörigheter som beviljats eller nekats för rollen:

Bidragsgivare för övervakning

En Övervakningsdeltagare kan läsa alla övervakningsdata och uppdatera övervakningsinställningarna. Följande tabell visar de behörigheter som beviljats för rollen:

Övervakningsläsare

En Övervakningsläsare kan läsa all övervakningsdata. Följande tabell visar de behörigheter som beviljats för rollen:

Administratör för användaråtkomst

En administratör för användaråtkomst kan hantera användarnas åtkomst till Azure-resurser. Följande tabell visar de behörigheter som beviljats för rollen:

Läsarrollens åtkomstbehörigheter

Den inbyggda läsarrollen för Automation-kontot kan inte använda API – GET /AUTOMATIONACCOUNTS/AGENTREGISTRATIONINFORMATION för att hämta Automation-kontonycklarna. Detta är en åtgärd med höga privilegier som tillhandahåller känslig information som kan utgöra en säkerhetsrisk för en oönskad illvillig aktör med låg behörighet som kan få åtkomst till Automation-kontots nycklar och utföra åtgärder med förhöjd behörighetsnivå.

För att få åtkomst till API – GET /AUTOMATIONACCOUNTS/AGENTREGISTRATIONINFORMATIONrekommenderar vi att du växlar till inbyggda roller som Ägare, Deltagare eller Automation-deltagare för att få åtkomst till Automation-kontonycklarna. Dessa roller har som standard behörigheten listKeys . Vi rekommenderar att du skapar en anpassad roll med begränsad behörighet för åtkomst till Automation-kontots nycklar. För en anpassad roll måste du lägga till behörigheten Microsoft.Automation/automationAccounts/listKeys/action i rolldefinitionen. Läs mer om hur du skapar en anpassad roll från Azure Portal.

Behörigheter för funktionskonfiguration

I följande avsnitt beskrivs de minsta behörigheter som krävs för att aktivera funktionerna Uppdateringshantering och Ändringsspårning och Inventering.

Behörigheter för att aktivera uppdateringshantering och Ändringsspårning och inventering från en virtuell dator

¹ Den här behörigheten krävs för att aktivera funktioner via VM-portalen.

Behörigheter för att aktivera uppdateringshantering och Ändringsspårning och inventering från ett Automation-konto

Hantera rollbehörigheter för Hybrid Worker-grupper och hybridarbetare

Du kan skapa anpassade Azure-roller i Automation och bevilja följande behörigheter till Hybrid Worker-grupper och hybridarbetare:

• Tilläggsbaserad Hybrid Runbook Worker

Konfigurera Azure RBAC för ditt Automation-konto

Följande avsnitt visar hur du konfigurerar Azure RBAC på ditt Automation-konto via Azure Portal och PowerShell.

Konfigurera Azure RBAC med hjälp av Azure Portal

1. Logga in på Azure Portal och öppna ditt Automation-konto från sidan Automation-konton.

2. Välj Åtkomstkontroll (IAM) och välj en roll i listan över tillgängliga roller. Du kan välja någon av de tillgängliga inbyggda roller som ett Automation-konto stöder eller vilken anpassad roll som helst som du kan ha definierat. Tilldela rollen till en användare som du vill ge behörigheter till.

   Läs mer om att tilldela roller i Tilldela Azure-roller via Azure Portal.

   Kommentar

   Du kan bara ange rollbaserad åtkomstkontroll i Automation-kontoomfånget och inte på någon resurs under Automation-kontot.

Ta bort rolltilldelningar från en användare

Du kan ta bort åtkomstbehörigheten för en användare som inte hanterar Automation-kontot eller som inte längre arbetar för organisationen. Följande steg visar hur du tar bort rolltilldelningarna från en användare. Detaljerade steg finns i Ta bort Azure-rolltilldelningar:

1. Öppna Åtkomstkontroll (IAM) i ett omfång, till exempel hanteringsgrupp, prenumeration, resursgrupp eller resurs, där du vill ta bort åtkomsten.

2. Välj fliken Rolltilldelningar om du vill visa rolltilldelningarna i det här omfånget.

3. I listan över rolltilldelningar lägger du till en bockmarkering bredvid användaren med den rolltilldelning som du vill ta bort.

4. Välj Ta bort.

   

Konfigurera Azure RBAC med PowerShell

Du kan också konfigurera rollbaserad åtkomst till ett Automation-konto med hjälp av följande Azure PowerShell-cmdletar:

Get-AzRoleDefinition visar en lista över alla Azure-roller som är tillgängliga i Microsoft Entra ID. Du kan använda den här cmdleten med parametern Name för att visa en lista över alla åtgärder som en specifik roll kan utföra.

Get-AzRoleDefinition -Name 'Automation Operator'

Följande är exempelutdata:

Name             : Automation Operator
Id               : d3881f73-407a-4167-8283-e981cbba0404
IsCustom         : False
Description      : Automation Operators are able to start, stop, suspend, and resume jobs
Actions          : {Microsoft.Authorization/*/read, Microsoft.Automation/automationAccounts/jobs/read, Microsoft.Automation/automationAccounts/jobs/resume/action,
                   Microsoft.Automation/automationAccounts/jobs/stop/action...}
NotActions       : {}
AssignableScopes : {/}

Get-AzRoleAssignment listar Azure-rolltilldelningar i det angivna omfånget. Utan några parametrar returnerar den här cmdleten alla rolltilldelningar som gjorts under prenumerationen. Använd parametern ExpandPrincipalGroups för att lista åtkomsttilldelningar för den angivna användaren samt de grupper som användaren tillhör.

Exempel: Använd följande cmdlet för att visa en lista över alla användare och deras roller i ett Automation-konto.

Get-AzRoleAssignment -Scope '/subscriptions/<SubscriptionID>/resourcegroups/<Resource Group Name>/Providers/Microsoft.Automation/automationAccounts/<Automation account name>'

Följande är exempelutdata:

RoleAssignmentId   : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroup/providers/Microsoft.Automation/automationAccounts/myAutomationAccount/provid
                     ers/Microsoft.Authorization/roleAssignments/00000000-0000-0000-0000-000000000000
Scope              : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroup/providers/Microsoft.Automation/automationAccounts/myAutomationAccount
DisplayName        : admin@contoso.com
SignInName         : admin@contoso.com
RoleDefinitionName : Automation Operator
RoleDefinitionId   : d3881f73-407a-4167-8283-e981cbba0404
ObjectId           : aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
ObjectType         : User

Använd New-AzRoleAssignment för att tilldela åtkomst till användare, grupper och program till ett visst omfång.

Exempel: Använd följande kommando för att tilldela rollen "Automation-operatör" för en användare i Automation-kontoomfånget.

New-AzRoleAssignment -SignInName <sign-in Id of a user you wish to grant access> -RoleDefinitionName 'Automation operator' -Scope '/subscriptions/<SubscriptionID>/resourcegroups/<Resource Group Name>/Providers/Microsoft.Automation/automationAccounts/<Automation account name>'

Följande är exempelutdata:

RoleAssignmentId   : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/myResourceGroup/Providers/Microsoft.Automation/automationAccounts/myAutomationAccount/provid
                     ers/Microsoft.Authorization/roleAssignments/00000000-0000-0000-0000-000000000000
Scope              : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/myResourceGroup/Providers/Microsoft.Automation/automationAccounts/myAutomationAccount
DisplayName        : admin@contoso.com
SignInName         : admin@contoso.com
RoleDefinitionName : Automation Operator
RoleDefinitionId   : d3881f73-407a-4167-8283-e981cbba0404
ObjectId           : bbbbbbbb-1111-2222-3333-cccccccccccc
ObjectType         : User

Använd Remove-AzRoleAssignment för att ta bort åtkomsten för en angiven användare, grupp eller ett visst program från ett visst omfång.

Exempel: Använd följande kommando för att ta bort användaren från rollen Automation-operatör i Automation-kontoomfånget.

Remove-AzRoleAssignment -SignInName <sign-in Id of a user you wish to remove> -RoleDefinitionName 'Automation Operator' -Scope '/subscriptions/<SubscriptionID>/resourcegroups/<Resource Group Name>/Providers/Microsoft.Automation/automationAccounts/<Automation account name>'

I föregående exempel ersätter du sign-in ID of a user you wish to remove, SubscriptionID, Resource Group Nameoch Automation account name med din kontoinformation. Välj Ja när du uppmanas att bekräfta innan du fortsätter att ta bort användarrolltilldelningar.

Användarupplevelse för rollen Automation-operatör – Automation-konto

När en användare som har tilldelats rollen Automation-operatör i Automation-kontoomfånget visar det Automation-konto som han/hon har tilldelats, kan användaren bara visa listan över runbooks, runbook-jobb och scheman som skapats i Automation-kontot. Den här användaren kan inte visa definitionerna av dessa objekt. Användaren kan starta, stoppa, pausa, återuppta eller schemalägga runbook-jobbet. Användaren har dock inte åtkomst till andra Automation-resurser, till exempel konfigurationer, Hybrid Runbook Worker-grupper eller DSC-noder.

Konfigurera Azure RBAC för runbooks

Med Azure Automation kan du tilldela Azure-roller till specifika runbooks. Det gör du genom att köra följande skript för att lägga till en användare i en specifik runbook. En Automation-kontoadministratör eller en innehavaradministratör kan köra det här skriptet.

$rgName = "<Resource Group Name>" # Resource Group name for the Automation account
$automationAccountName ="<Automation account name>" # Name of the Automation account
$rbName = "<Name of Runbook>" # Name of the runbook
$userId = "<User ObjectId>" # Azure Active Directory (AAD) user's ObjectId from the directory

# Gets the Automation account resource
$aa = Get-AzResource -ResourceGroupName $rgName -ResourceType "Microsoft.Automation/automationAccounts" -ResourceName $automationAccountName

# Get the Runbook resource
$rb = Get-AzResource -ResourceGroupName $rgName -ResourceType "Microsoft.Automation/automationAccounts/runbooks" -ResourceName "$rbName"

# The Automation Job Operator role only needs to be run once per user.
New-AzRoleAssignment -ObjectId $userId -RoleDefinitionName "Automation Job Operator" -Scope $aa.ResourceId

# Adds the user to the Automation Runbook Operator role to the Runbook scope
New-AzRoleAssignment -ObjectId $userId -RoleDefinitionName "Automation Runbook Operator" -Scope $rb.ResourceId

När skriptet har körts måste användaren logga in på Azure Portal och välja Alla resurser. I listan kan användaren se runbooken som han/hon har lagts till som Automation Runbook Operator för.

Användarupplevelse för Automation-operatörsroll – Runbook

När en användare som tilldelats rollen Automation-operatör i Runbook-omfånget visar en tilldelad runbook kan användaren bara starta runbooken och visa runbook-jobben.

Nästa steg

• Mer information om säkerhetsriktlinjer finns i Metodtips för säkerhet i Azure Automation.
• Mer information om Azure RBAC med PowerShell finns i Lägga till eller ta bort Azure-rolltilldelningar med Azure PowerShell.
• Mer information om typer av runbooks finns i Azure Automation-runbooktyper.
• För att starta en runbook, se Starta en runbook i Azure Automation.