سرد تعريفات دور Azure

الكيفية
10/27/2023

تعريف الدور هو مجموعة من الأذونات التي يمكن تنفيذها، مثل القراءة والكتابة والحذف. عادةً ما تسمى "دور". يحتوي التحكم في الوصول المستند إلى الدور في Azure (Azure RBAC) على أكثر من 120 دورا مضمنا أو يمكنك إنشاء أدوار مخصصة خاصة بك. توضح هذه المقالة كيفية سرد الأدوار المضمنة والمخصصة التي يمكنك استخدامها لمنح حق الوصول إلى موارد Azure.

للاطلاع على قائمة أدوار المسؤول لمعرف Microsoft Entra، راجع أذونات دور مسؤول istrator في معرف Microsoft Entra.

المتطلبات الأساسية

بلا

مدخل Microsoft Azure

سرد جميع الأدوار

اتبع هذه الخطوات لسرد جميع الأدوار في مدخل Microsoft Azure.

في مدخل Microsoft Azure، انقر فوق All services ثم حدد أي نطاق. على سبيل المثال، يمكنك تحديد مجموعات الإدارة أو الاشتراكات أو مجموعات الموارد أو مورد.
انقر فوق المورد المحدد.
انقر فوق Access control (IAM).
انقر فوق علامة التبويب أدوار لعرض قائمة بجميع الأدوار المضمنة والمخصصة.
للاطلاع على أذونات دور معين، في العمود تفاصيل ، انقر فوق الارتباط عرض .

يظهر جزء الأذونات.
انقر فوق علامة التبويب أذونات لعرض أذونات الدور المحدد والبحث فيها.

Azure PowerShell

سرد جميع الأدوار

لسرد جميع الأدوار في Azure PowerShell، استخدم Get-AzRoleDefinition.

Get-AzRoleDefinition | FT Name, Description

AcrImageSigner                                    acr image signer
AcrQuarantineReader                               acr quarantine data reader
AcrQuarantineWriter                               acr quarantine data writer
API Management Service Contributor                Can manage service and the APIs
API Management Service Operator Role              Can manage service but not the APIs
API Management Service Reader Role                Read-only access to service and APIs
Application Insights Component Contributor        Can manage Application Insights components
Application Insights Snapshot Debugger            Gives user permission to use Application Insights Snapshot Debugge...
Automation Job Operator                           Create and Manage Jobs using Automation Runbooks.
Automation Operator                               Automation Operators are able to start, stop, suspend, and resume ...
...

سرد تعريف دور

لسرد تفاصيل دور معين، استخدم Get-AzRoleDefinition.

Get-AzRoleDefinition <role_name>

PS C:\> Get-AzRoleDefinition "Contributor"

Name             : Contributor
Id               : b24988ac-6180-42a0-ab88-20f7382dd24c
IsCustom         : False
Description      : Lets you manage everything except access to resources.
Actions          : {*}
NotActions       : {Microsoft.Authorization/*/Delete, Microsoft.Authorization/*/Write,
                  Microsoft.Authorization/elevateAccess/Action}
DataActions      : {}
NotDataActions   : {}
AssignableScopes : {/}

سرد تعريف دور بتنسيق JSON

لسرد دور بتنسيق JSON، استخدم Get-AzRoleDefinition.

Get-AzRoleDefinition <role_name> | ConvertTo-Json

PS C:\> Get-AzRoleDefinition "Contributor" | ConvertTo-Json

{
  "Name": "Contributor",
  "Id": "b24988ac-6180-42a0-ab88-20f7382dd24c",
  "IsCustom": false,
  "Description": "Lets you manage everything except access to resources.",
  "Actions": [
    "*"
  ],
  "NotActions": [
    "Microsoft.Authorization/*/Delete",
    "Microsoft.Authorization/*/Write",
    "Microsoft.Authorization/elevateAccess/Action",
    "Microsoft.Blueprint/blueprintAssignments/write",
    "Microsoft.Blueprint/blueprintAssignments/delete"
  ],
  "DataActions": [],
  "NotDataActions": [],
  "AssignableScopes": [
    "/"
  ]
}

سرد أذونات تعريف الدور

لسرد الأذونات لدور معين، استخدم Get-AzRoleDefinition.

Get-AzRoleDefinition <role_name> | FL Actions, NotActions

PS C:\> Get-AzRoleDefinition "Contributor" | FL Actions, NotActions

Actions    : {*}
NotActions : {Microsoft.Authorization/*/Delete, Microsoft.Authorization/*/Write,
            Microsoft.Authorization/elevateAccess/Action,
            Microsoft.Blueprint/blueprintAssignments/write...}

(Get-AzRoleDefinition <role_name>).Actions

PS C:\> (Get-AzRoleDefinition "Virtual Machine Contributor").Actions

Microsoft.Authorization/*/read
Microsoft.Compute/availabilitySets/*
Microsoft.Compute/locations/*
Microsoft.Compute/virtualMachines/*
Microsoft.Compute/virtualMachineScaleSets/*
Microsoft.DevTestLab/schedules/*
Microsoft.Insights/alertRules/*
Microsoft.Network/applicationGateways/backendAddressPools/join/action
Microsoft.Network/loadBalancers/backendAddressPools/join/action
...

Azure CLI

سرد جميع الأدوار

لسرد جميع الأدوار في Azure CLI، استخدم قائمة تعريف الدور az.

az role definition list

يسرد المثال التالي اسم ووصف جميع تعريفات الأدوار المتوفرة:

az role definition list --output json --query '[].{roleName:roleName, description:description}'

[
  {
    "description": "Can manage service and the APIs",
    "roleName": "API Management Service Contributor"
  },
  {
    "description": "Can manage service but not the APIs",
    "roleName": "API Management Service Operator Role"
  },
  {
    "description": "Read-only access to service and APIs",
    "roleName": "API Management Service Reader Role"
  },

  ...

]

يسرد المثال التالي جميع الأدوار المضمنة.

az role definition list --custom-role-only false --output json --query '[].{roleName:roleName, description:description, roleType:roleType}'

[
  {
    "description": "Can manage service and the APIs",
    "roleName": "API Management Service Contributor",
    "roleType": "BuiltInRole"
  },
  {
    "description": "Can manage service but not the APIs",
    "roleName": "API Management Service Operator Role",
    "roleType": "BuiltInRole"
  },
  {
    "description": "Read-only access to service and APIs",
    "roleName": "API Management Service Reader Role",
    "roleType": "BuiltInRole"
  },
  
  ...

]

سرد تعريف دور

لسرد تفاصيل الدور، استخدم قائمة تعريف الدور az.

az role definition list --name {roleName}

يسرد المثال التالي تعريف دور المساهم :

az role definition list --name "Contributor"

[
  {
    "assignableScopes": [
      "/"
    ],
    "description": "Lets you manage everything except access to resources.",
    "id": "/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/roleDefinitions/b24988ac-6180-42a0-ab88-20f7382dd24c",
    "name": "b24988ac-6180-42a0-ab88-20f7382dd24c",
    "permissions": [
      {
        "actions": [
          "*"
        ],
        "dataActions": [],
        "notActions": [
          "Microsoft.Authorization/*/Delete",
          "Microsoft.Authorization/*/Write",
          "Microsoft.Authorization/elevateAccess/Action",
          "Microsoft.Blueprint/blueprintAssignments/write",
          "Microsoft.Blueprint/blueprintAssignments/delete"
        ],
        "notDataActions": []
      }
    ],
    "roleName": "Contributor",
    "roleType": "BuiltInRole",
    "type": "Microsoft.Authorization/roleDefinitions"
  }
]

سرد أذونات تعريف الدور

يسرد المثال التالي فقط الإجراءات وnotActionsلدور المساهم.

az role definition list --name "Contributor" --output json --query '[].{actions:permissions[0].actions, notActions:permissions[0].notActions}'

[
  {
    "actions": [
      "*"
    ],
    "notActions": [
      "Microsoft.Authorization/*/Delete",
      "Microsoft.Authorization/*/Write",
      "Microsoft.Authorization/elevateAccess/Action",
      "Microsoft.Blueprint/blueprintAssignments/write",
      "Microsoft.Blueprint/blueprintAssignments/delete"
    ]
  }
]

The following example lists just the actions of the Virtual Machine Contributor role.

az role definition list --name "Virtual Machine Contributor" --output json --query '[].permissions[0].actions'

[
  [
    "Microsoft.Authorization/*/read",
    "Microsoft.Compute/availabilitySets/*",
    "Microsoft.Compute/locations/*",
    "Microsoft.Compute/virtualMachines/*",
    "Microsoft.Compute/virtualMachineScaleSets/*",
    "Microsoft.Compute/disks/write",
    "Microsoft.Compute/disks/read",
    "Microsoft.Compute/disks/delete",
    "Microsoft.DevTestLab/schedules/*",
    "Microsoft.Insights/alertRules/*",
    "Microsoft.Network/applicationGateways/backendAddressPools/join/action",
    "Microsoft.Network/loadBalancers/backendAddressPools/join/action",

    ...

    "Microsoft.Storage/storageAccounts/listKeys/action",
    "Microsoft.Storage/storageAccounts/read",
    "Microsoft.Support/*"
  ]
]

واجهة برمجة تطبيقات REST

المتطلبات الأساسية

يجب استخدام الإصدار التالي:

2015-07-01 أو أحدث

لمزيد من المعلومات، راجع إصدارات واجهة برمجة التطبيقات من واجهات برمجة تطبيقات AZURE RBAC REST.

سرد كافة تعريفات الأدوار

لسرد تعريفات الأدوار في المستأجر، استخدم Role Definitions - List REST API.

يسرد المثال التالي جميع تعريفات الأدوار في المستأجر:

Request

GET https://management.azure.com/providers/Microsoft.Authorization/roleDefinitions?api-version=2022-04-01

Response

{
    "value": [
        {
            "properties": {
                "roleName": "Billing Reader Plus",
                "type": "CustomRole",
                "description": "Read billing data and download invoices",
                "assignableScopes": [
                    "/subscriptions/473a4f86-11e3-48cb-9358-e13c220a2f15"
                ],
                "permissions": [
                    {
                        "actions": [
                            "Microsoft.Authorization/*/read",
                            "Microsoft.Billing/*/read",
                            "Microsoft.Commerce/*/read",
                            "Microsoft.Consumption/*/read",
                            "Microsoft.Management/managementGroups/read",
                            "Microsoft.CostManagement/*/read",
                            "Microsoft.Billing/invoices/download/action",
                            "Microsoft.CostManagement/exports/*"
                        ],
                        "notActions": [
                            "Microsoft.CostManagement/exports/delete"
                        ],
                        "dataActions": [],
                        "notDataActions": []
                    }
                ],
                "createdOn": "2021-05-22T21:57:23.5764138Z",
                "updatedOn": "2021-05-22T21:57:23.5764138Z",
                "createdBy": "68f66d4c-c0eb-4009-819b-e5315d677d70",
                "updatedBy": "68f66d4c-c0eb-4009-819b-e5315d677d70"
            },
            "id": "/providers/Microsoft.Authorization/roleDefinitions/17adabda-4bf1-4f4e-8c97-1f0cab6dea1c",
            "type": "Microsoft.Authorization/roleDefinitions",
            "name": "17adabda-4bf1-4f4e-8c97-1f0cab6dea1c"
        },
        {
            "properties": {
                "roleName": "AcrPush",
                "type": "BuiltInRole",
                "description": "acr push",
                "assignableScopes": [
                    "/"
                ],
                "permissions": [
                    {
                        "actions": [
                            "Microsoft.ContainerRegistry/registries/pull/read",
                            "Microsoft.ContainerRegistry/registries/push/write"
                        ],
                        "notActions": [],
                        "dataActions": [],
                        "notDataActions": []
                    }
                ],
                "createdOn": "2018-10-29T17:52:32.5201177Z",
                "updatedOn": "2021-11-11T20:13:07.4993029Z",
                "createdBy": null,
                "updatedBy": null
            },
            "id": "/providers/Microsoft.Authorization/roleDefinitions/8311e382-0749-4cb8-b61a-304f252e45ec",
            "type": "Microsoft.Authorization/roleDefinitions",
            "name": "8311e382-0749-4cb8-b61a-304f252e45ec"
        }
    ]
}

سرد تعريفات الأدوار

لسرد تعريفات الأدوار، استخدم Role Definitions - List REST API. لتحسين النتائج، يمكنك تحديد نطاق وعامل تصفية اختياري.

ابدأ بالطلب التالي:

GET https://management.azure.com/{scope}/providers/Microsoft.Authorization/roleDefinitions?$filter={$filter}&api-version=2022-04-01

بالنسبة لنطاق على مستوى المستأجر، يمكنك استخدام هذا الطلب:

GET https://management.azure.com/providers/Microsoft.Authorization/roleDefinitions?filter={$filter}&api-version=2022-04-01

ضمن URI، استبدل {scope} بالنطاق الذي تريد سرد تعريفات الدور له.

النطاق	نوع
`providers/Microsoft.Management/managementGroups/{groupId1}`	مجموعة الإدارة
`subscriptions/{subscriptionId1}`	الاشتراك
`subscriptions/{subscriptionId1}/resourceGroups/myresourcegroup1`	مجموعة الموارد
`subscriptions/{subscriptionId1}/resourceGroups/myresourcegroup1/providers/Microsoft.Web/sites/mysite1`	Resource

في المثال السابق، microsoft.web هو موفر موارد يشير إلى مثيل App Service. وبالمثل، يمكنك استخدام أي موفري موارد آخرين وتحديد النطاق. لمزيد من المعلومات، راجع موفري موارد Azure وأنواعها وعمليات موفر موارد Azure المدعومة.

استبدل {filter} بالشرط الذي تريد تطبيقه لتصفية قائمة تعريف الدور.

تصفية	‏‏الوصف
`$filter=type+eq+'{type}'`	يسرد تعريفات الدور للنوع المحدد. يمكن أن يكون `CustomRole` نوع الدور أو `BuiltInRole`.

يسرد المثال التالي جميع الأدوار المخصصة في المستأجر:

Request

GET https://management.azure.com/providers/Microsoft.Authorization/roleDefinitions?$filter=type+eq+'CustomRole'&api-version=2022-04-01

Response

{
    "value": [
        {
            "properties": {
                "roleName": "Billing Reader Plus",
                "type": "CustomRole",
                "description": "Read billing data and download invoices",
                "assignableScopes": [
                    "/subscriptions/473a4f86-11e3-48cb-9358-e13c220a2f15"
                ],
                "permissions": [
                    {
                        "actions": [
                            "Microsoft.Authorization/*/read",
                            "Microsoft.Billing/*/read",
                            "Microsoft.Commerce/*/read",
                            "Microsoft.Consumption/*/read",
                            "Microsoft.Management/managementGroups/read",
                            "Microsoft.CostManagement/*/read",
                            "Microsoft.Billing/invoices/download/action",
                            "Microsoft.CostManagement/exports/*"
                        ],
                        "notActions": [
                            "Microsoft.CostManagement/exports/delete"
                        ],
                        "dataActions": [],
                        "notDataActions": []
                    }
                ],
                "createdOn": "2021-05-22T21:57:23.5764138Z",
                "updatedOn": "2021-05-22T21:57:23.5764138Z",
                "createdBy": "68f66d4c-c0eb-4009-819b-e5315d677d70",
                "updatedBy": "68f66d4c-c0eb-4009-819b-e5315d677d70"
            },
            "id": "/providers/Microsoft.Authorization/roleDefinitions/17adabda-4bf1-4f4e-8c97-1f0cab6dea1c",
            "type": "Microsoft.Authorization/roleDefinitions",
            "name": "17adabda-4bf1-4f4e-8c97-1f0cab6dea1c"
        }
    ]
}

سرد تعريف دور

لسرد تفاصيل دور معين، استخدم Role Definitions - Get أو Role Definitions - Get By ID REST API.

ابدأ بالطلب التالي:

GET https://management.azure.com/{scope}/providers/Microsoft.Authorization/roleDefinitions/{roleDefinitionId}?api-version=2022-04-01

لتعريف دور على مستوى المستأجر، يمكنك استخدام هذا الطلب:

GET https://management.azure.com/providers/Microsoft.Authorization/roleDefinitions/{roleDefinitionId}?api-version=2022-04-01

ضمن URI، استبدل {scope} بالنطاق الذي تريد سرد تعريف الدور له.

النطاق	نوع
`providers/Microsoft.Management/managementGroups/{groupId1}`	مجموعة الإدارة
`subscriptions/{subscriptionId1}`	الاشتراك
`subscriptions/{subscriptionId1}/resourceGroups/myresourcegroup1`	مجموعة الموارد
`subscriptions/{subscriptionId1}/resourceGroups/myresourcegroup1/providers/Microsoft.Web/sites/mysite1`	Resource

استبدل {roleDefinitionId} بمعرف تعريف الدور.

يسرد المثال التالي تعريف دور القارئ :

Request

GET https://management.azure.com/providers/Microsoft.Authorization/roleDefinitions/acdd72a7-3385-48ef-bd42-f606fba81ae7?api-version=2022-04-01

Response

{
    "properties": {
        "roleName": "Reader",
        "type": "BuiltInRole",
        "description": "View all resources, but does not allow you to make any changes.",
        "assignableScopes": [
            "/"
        ],
        "permissions": [
            {
                "actions": [
                    "*/read"
                ],
                "notActions": [],
                "dataActions": [],
                "notDataActions": []
            }
        ],
        "createdOn": "2015-02-02T21:55:09.8806423Z",
        "updatedOn": "2021-11-11T20:13:47.8628684Z",
        "createdBy": null,
        "updatedBy": null
    },
    "id": "/providers/Microsoft.Authorization/roleDefinitions/acdd72a7-3385-48ef-bd42-f606fba81ae7",
    "type": "Microsoft.Authorization/roleDefinitions",
    "name": "acdd72a7-3385-48ef-bd42-f606fba81ae7"
}

مشاركة عبر

سرد تعريفات دور Azure

المتطلبات الأساسية

مدخل Microsoft Azure

سرد جميع الأدوار

Azure PowerShell

سرد جميع الأدوار

سرد تعريف دور

سرد تعريف دور بتنسيق JSON

سرد أذونات تعريف الدور

Azure CLI

سرد جميع الأدوار

سرد تعريف دور

سرد أذونات تعريف الدور

واجهة برمجة تطبيقات REST

المتطلبات الأساسية

سرد كافة تعريفات الأدوار

سرد تعريفات الأدوار

سرد تعريف دور

الملاحظات

الموارد الإضافية

مشاركة عبر

سرد تعريفات دور Azure

المتطلبات الأساسية

مدخل Microsoft Azure

سرد جميع الأدوار

Azure PowerShell

سرد جميع الأدوار

سرد تعريف دور

سرد تعريف دور بتنسيق JSON

سرد أذونات تعريف الدور

Azure CLI

سرد جميع الأدوار

سرد تعريف دور

سرد أذونات تعريف الدور

واجهة برمجة تطبيقات REST

المتطلبات الأساسية

سرد كافة تعريفات الأدوار

سرد تعريفات الأدوار

سرد تعريف دور

المحتوى ذو الصلة

الملاحظات

الموارد الإضافية