Dela via

Anpassade RBAC-roller för dina Azure IoT Operations-resurser

Om du vill definiera anpassade roller som beviljar specifika behörigheter till användare kan du använda Azure RBAC. Den här artikeln innehåller en lista med exempel som du kan ladda ned och använda som referens för att skapa dina anpassade roller.

Mer information om anpassade roller i Azure RBAC finns i Anpassade Azure-roller.

Azure IoT-åtgärder erbjuder även inbyggda roller som är utformade för att förenkla och skydda åtkomsthantering för Azure IoT Operations-resurser. Mer information finns i Inbyggda RBAC-roller för IoT-åtgärder.

Exempel på anpassade roller

I följande avsnitt visas exempel på anpassade Azure IoT Operations-roller som du kan ladda ned och använda som referens. De här anpassade rollerna är JSON-filer som listar de specifika behörigheterna och omfånget för rollen, som du bör använda som utgångspunkt för att skapa egna anpassade roller.

Anmärkning

Följande anpassade roller är endast exempel. Du måste granska och ändra behörigheterna i JSON-filerna så att de passar dina specifika krav.

Onboarding-roller

Du kan definiera en onboarding-roll som ger tillräcklig behörighet till en användare för att slutföra Azure Arc-anslutningsprocessen och distribuera Azure IoT Operations på ett säkert sätt.

Anpassad roll Beskrivning
Introduktioner Det här är en privilegierad roll. Användaren kan slutföra Azure Arc-anslutningsprocessen och distribuera Azure IoT Operations på ett säkert sätt.

Visningsprogramroller

Du kan definiera olika visningsroller som ger skrivskyddad åtkomst till Azure IoT Operations-instansen och dess resurser. De här rollerna är användbara för användare som behöver övervaka instansen utan att göra ändringar.

Anpassad roll Beskrivning
Instansvisare Med den här rollen kan användaren visa Azure IoT Operations-instansen.
Tillgångsvisare Med den här rollen kan användaren visa tillgångarna i Azure IoT Operations-instansen.
Visningsprogram för tillgångsslutpunkt Med den här rollen kan användaren visa tillgångsslutpunkterna i Azure IoT Operations-instansen.
Visningsprogram för dataflöde Med den här rollen kan användaren visa dataflödena i Azure IoT Operations-instansen.
Visningsprogram för dataflödesmål Med den här rollen kan användaren visa dataflödesmål i Azure IoT Operations-instansen.
MQ-visningsprogram Med den här rollen kan användaren visa MQTT-koordinatorn i Azure IoT Operations-instansen.
Visare Med den här rollen kan användaren visa Azure IoT Operations-instansen. Den här rollen är en kombination av instansvisaren, tillgångsvisningsprogrammet, visningsprogrammet för tillgångsslutpunkten, dataflödesvisaren, målvisaren för dataflöde och MQ-visningsroller .

Administratörsroller

Du kan definiera olika administratörsroller som ger fullständig åtkomst till Azure IoT Operations-instansen och dess resurser. De här rollerna är användbara för användare som behöver hantera instansen och dess resurser.

Anpassad roll Beskrivning
Instansadministratör Det här är en privilegierad roll. Användaren kan distribuera en instans. Rollen innehåller behörigheter för att skapa och uppdatera instanser, asynkrona autentiseringar, lyssnare, dataflödesprofiler, dataflödesslutpunkter, schemaregister och användartilldelade identiteter. Rollen innehåller även behörighet att ta bort instanser.
Tillgångsadministratör Användaren kan skapa och hantera tillgångar i Azure IoT Operations-instansen.
Tillgångsslutpunktsadministratör Användaren kan skapa och hantera tillgångsslutpunkter i Azure IoT Operations-instansen.
Dataflödesadministratör Användaren kan skapa och hantera dataflöden i Azure IoT Operations-instansen.
Måladministratör för dataflöde Användaren kan skapa och hantera dataflödesmål i Azure IoT Operations-instansen.
MQ-administratör Användaren kan skapa och hantera MQTT-koordinatorn i Azure IoT Operations-instansen.
Administratör Det här är en privilegierad roll. Användaren kan skapa och hantera Azure IoT Operations-instansen. Den här rollen är en kombination av rollerna Instansadministratör, Tillgångsadministratör, Tillgångsslutpunktsadministratör, Dataflödesadministratör, Måladministratör för dataflöde och MQ-administratör .

Anmärkning

Exempelrollen Assets endpoint administrator och Data flow destination administrator har åtkomst till Azure Key Vault och sidan Hantera hemligheter i webbgränssnittet för driftupplevelse. Men även om dessa anpassade roller tilldelas på prenumerationsnivå kan användarna bara se listan över nyckelvalv från den specifika resursgruppen. Åtkomsten till schemaregister är också begränsad till resursgruppsnivå.

Viktigt!

För närvarande visar webbgränssnittet för driftsupplevelsen ett missvisande felmeddelande när en användare försöker komma åt en resurs som de inte har behörighet för. Åtkomsten till resursen blockeras som förväntat.

Skapa en anpassad rolldefinition

Så här förbereder du en av de anpassade exempelrollerna:

  1. Ladda ned JSON-filen för den anpassade roll som du vill skapa. JSON-filen innehåller rolldefinitionen, inklusive behörigheter och omfång för rollen.

  2. Redigera JSON-filen för att ersätta platshållarvärdet i assignableScopes fältet med ditt prenumerations-ID. Spara ändringarna.

Så här lägger du till den anpassade rollen i din Azure-prenumeration med hjälp av Azure-portalen:

  1. Gå till din prenumeration i Azure-portalen.

  2. Välj Åtkomstkontroll (IAM).

  3. Välj Lägg till > anpassad roll.

  4. Ange ett namn, till exempel Onboarding, och en beskrivning av rollen.

  5. Välj Starta från JSON och välj sedan JSON-filen som du laddade ned. Det anpassade rollnamnet och beskrivningen fylls i från filen.

  6. Du kan också granska behörigheter och tilldelningsbara omfång.

  7. Om du vill lägga till den anpassade rollen i din prenumeration väljer du Granska + skapa och sedan Skapa.

Konfigurera och använda en anpassad roll

När du har skapat de anpassade rollerna i din prenumeration kan du tilldela dem till användare, grupper eller program. Du kan tilldela roller på prenumerations- eller resursgruppsnivå. Om du tilldelar roller på nivån för en resursgrupp får du den mest detaljerade kontrollen.

Så här tilldelar du den anpassade rollen till en användare på resursgruppsnivå med hjälp av Azure-portalen:

  1. Gå till resursgruppen i Azure-portalen.

  2. Välj Åtkomstkontroll (IAM).

  3. Välj Lägg till > Lägg till rolltilldelning.

  4. Sök efter och välj den anpassade roll som du vill tilldela. Välj Nästa.

  5. Välj den användare eller de användare som du vill tilldela rollen till. Du kan söka efter användare efter namn eller e-postadress.

  6. Välj Granska + tilldela för att granska rolltilldelningen. Om allt ser bra ut väljer du Tilldela.