Delegieren der Azure-Rollenzuweisungsverwaltung an andere Personen mit Bedingungen

  • Artikel

Als Administrator erhalten Sie möglicherweise mehrere Anforderungen zum Gewähren des Zugriffs auf Azure-Ressourcen, die Sie an eine andere Person delegieren möchten. Sie können einem Benutzer die Rollen "Besitzer" oder "Benutzerzugriffsadministrator " zuweisen, dies sind jedoch hoch privilegierte Rollen. In diesem Artikel wird eine sicherere Methode beschrieben, um die Rollenzuweisungsverwaltung an andere Benutzer in Ihrer Organisation zu delegieren, aber Einschränkungen für diese Rollenzuweisungen hinzuzufügen. Sie können beispielsweise die Rollen einschränken, denen die Rollen zugewiesen werden können, oder die Prinzipale einschränken, denen die Rollen zugewiesen werden können.

Das folgende Diagramm zeigt, wie eine Stellvertretung mit Bedingungen nur den Rollen "Mitwirkender sichern" oder "Sicherungsleser" nur den Marketing- oder Vertriebsgruppen zuweisen kann.

Diagram that shows an administrator delegating role assignment management with conditions.

Voraussetzungen

Zum Zuweisen von Azure-Rollen müssen Sie über Folgendes verfügen:

Schritt 1: Ermitteln der Berechtigungen, die die Stellvertretung benötigt

Um die Berechtigungen zu ermitteln, die die Stellvertretung benötigt, beantworten Sie die folgenden Fragen:

  • Welche Rollen kann der Delegate zuweisen?
  • Welchen Prinzipaltypen kann der Delegate Rollen zuweisen?
  • Welchen Prinzipalen kann der Delegate Rollen zuweisen?
  • Kann der Delegate Rollenzuweisungen löschen?

Sobald Sie die Berechtigungen kennen, die Stellvertretung benötigt, führen Sie die folgenden Schritte aus, um der Rollenzuweisung der Stellvertretung eine Bedingung hinzuzufügen. Beispielbedingungen finden Sie unter "Beispiele zum Delegieren der Azure-Rollenzuweisungsverwaltung mit Bedingungen".

Schritt 2: Starten einer neuen Rollenzuweisung

  1. Melden Sie sich beim Azure-Portal an.

  2. Führen Sie die Schritte aus, um die Seite "Rollenzuweisung hinzufügen" zu öffnen.

  3. Wählen Sie auf der Registerkarte "Rollen " die Registerkarte "Privilegierte Administratorrollen" aus .

  4. Wählen Sie die Rollenbasierte Zugriffssteuerungsadministratorrolle aus.

    Die Registerkarte "Bedingungen " wird angezeigt.

    Sie können eine beliebige Rolle auswählen, die die Microsoft.Authorization/roleAssignments/write oder Microsoft.Authorization/roleAssignments/delete Aktionen enthält, z . B. Benutzerzugriffsadministrator, aber rollenbasierte Zugriffssteuerungsadministrator verfügt über weniger Berechtigungen.

  5. Suchen Sie auf der Registerkarte "Mitglieder" die Stellvertretung, und wählen Sie sie aus.

Schritt 3: Hinzufügen einer Bedingung

Es gibt zwei Möglichkeiten, um eine Bedingung hinzuzufügen. Sie können eine Bedingungsvorlage verwenden oder einen erweiterten Bedingungs-Editor verwenden.

  1. Wählen Sie auf der Registerkarte "Bedingungen " unter "Was der Benutzer tun kann" die Option "Benutzer zulassen", ausgewählte Rollen nur ausgewählten Prinzipale (weniger Berechtigungen) zuzuweisen.

    Screenshot of Add role assignment with the constrained option selected.

  2. Wählen Sie "Rollen und Prinzipale auswählen " aus.

    Die Seite "Rollenzuweisungsbedingung hinzufügen" wird mit einer Liste von Bedingungsvorlagen angezeigt.

    Screenshot of Add role assignment condition with a list of condition templates.

  3. Wählen Sie eine Bedingungsvorlage und dann "Konfigurieren" aus.

    Bedingungsvorlage Wählen Sie diese Vorlage aus, um
    Rollen einschränken Benutzern das Zuweisen von Rollen erlauben, die Sie auswählen
    Einschränken von Rollen und Prinzipaltypen Benutzern das Zuweisen von Rollen erlauben, die Sie auswählen
    Zulassen, dass Benutzer diese Rollen nur prinzipaltypen zuweisen können , die Sie auswählen (Benutzer, Gruppen oder Dienstprinzipale)
    Einschränken von Rollen und Prinzipale Benutzern das Zuweisen von Rollen erlauben, die Sie auswählen
    Zulassen, dass Benutzer diese Rollen nur prinzipale zuweisen, die Sie auswählen

  4. Fügen Sie im Konfigurationsbereich die erforderlichen Konfigurationen hinzu.

    Screenshot of configure pane for a condition with selection added.

  5. Wählen Sie " Speichern" aus, um der Rollenzuweisung die Bedingung hinzuzufügen.

Schritt 4: Zuweisen einer Rolle mit Bedingung zum Delegieren

  1. Überprüfen Sie auf der Registerkarte Überprüfen und zuweisen die Einstellungen für die Rollenzuweisung.

  2. Wählen Sie Überprüfen und zuweisen aus, um die Rolle zuzuweisen.

    Nach ein paar Momenten wird der Delegat der Rolle "Rollenbasierter Zugriffssteuerungsadministrator" mit den Rollenzuweisungsbedingungen zugewiesen.

Schritt 5: Stellvertretung weist Rollen mit Bedingungen zu

  • Stellvertretung kann jetzt Die Schritte zum Zuweisen von Rollen ausführen.

    Diagram of role assignments constrained to specific roles and specific groups.

    Wenn die Stellvertretung versucht, Rollen im Azure-Portal zuzuweisen, wird die Liste der Rollen gefiltert, um nur die Rollen anzuzeigen, die sie zuweisen können.

    Screenshot of role assignments constrained to specific roles.

    Wenn es eine Bedingung für Prinzipale gibt, werden auch die Liste der für die Zuordnung verfügbaren Prinzipale gefiltert.

    Screenshot of role assignments constrained to specific groups.

    Wenn der Delegat versucht, eine Rolle außerhalb der Bedingungen mithilfe einer API zuzuweisen, schlägt die Rollenzuweisung mit einem Fehler fehl. Weitere Informationen finden Sie unter Symptom – Eine Rolle kann nicht zugewiesen werden.

Nächste Schritte