azure - 如何创建仅限于特定资源类型的 Azure 角色分配

Question

我正在尝试创建一个 Azure 角色分配，它将用户访问管理员角色分配给服务主体，但仅限于 Azure 数据工厂资源。

我看到了大量有关按订阅、资源组甚至资源设置范围的文档，但无法弄清楚如何为特定类型的所有资源设置范围。

我已经尝试过此 PowerShell 命令，该命令运行成功，但没有达到预期效果。服务主体仍然无法对 ADF 资源执行该角色的操作。

New-AzRoleAssignment -ObjectId ddddddd-dddd-dddd-dddd-dddddddddddd -RoleDefinitionId 18d7d88d-d35e-4fb5-a5c3-7773c20a72d9 -Scope "/providers/Microsoft.DataFactory"

我还尝试在范围内尝试使用通配符，但这似乎不受支持: /subscriptions/dddddddd-dddd-dddd-dddd-dddddddddddd/resourceGroups/*/providers/Microsoft.DataFactory/dataFactories/*

这是我已经阅读过的文档:

• https://learn.microsoft.com/en-us/azure/role-based-access-control/role-assignments-portal
• https://learn.microsoft.com/en-us/azure/role-based-access-control/role-definitions#assignablescopes
• https://learn.microsoft.com/en-us/azure/role-based-access-control/role-assignments-template

Answer 1

角色分配用于为用户分配预定义或自定义角色“角色定义”。

角色定义是定义角色范围的定义。角色的范围需要是订阅、资源组和资源。您无法定义资源类型。它更像是一个或多个位置。

RBAC范围的结构: https://learn.microsoft.com/en-us/azure/role-based-access-control/overview#scope

如何创建自定义角色: https://learn.microsoft.com/en-us/azure/role-based-access-control/custom-roles

在您的情况下，如果您希望授予用户能够处理所有 DataFactory 上的 IAM，您将需要手动定义每个 datafactory 范围。然后使用 Microsoft.Authorization 提供程序中的操作:https://learn.microsoft.com/en-us/azure/role-based-access-control/resource-provider-operations#microsoftauthorization

定义作业的范围时，您可以使用-Scope <String>来定义它。参数或以下参数的组合。

   -ResourceGroupName <String>
   -ResourceName <String>
   -ResourceType <String>

资源类型“-ResourceType”。例如Microsoft.网络/虚拟网络。只能与 ResourceGroupName、ResourceName 和(可选)ParentResource 参数结合使用，以标识资源的相对 URI 的形式构建分层范围。

更多详情请参阅:https://learn.microsoft.com/en-us/powershell/module/az.resources/new-azroleassignment?view=azps-3.3.0