Assegnare ruoli controllo degli accessi in base al ruolo alle entità servizio di Desktop virtuale Azure

Diverse funzionalità di Desktop virtuale Azure richiedono di assegnare ruoli di controllo degli accessi in base al ruolo di Azure a una delle entità servizio di Desktop virtuale Azure. Le funzionalità che è necessario assegnare un ruolo a un'entità servizio Desktop virtuale Azure includono:

• Scalabilità automatica.
• Avviare la macchina virtuale in Connessione.
• Collegamento app (quando si usano File di Azure e gli host di sessione aggiunti a Microsoft Entra ID).

Suggerimento

È possibile trovare il ruolo da assegnare all'entità servizio nell'articolo per ogni funzionalità. Per un elenco di tutti i ruoli disponibili in particolare per Desktop virtuale Azure, vedere Ruoli predefiniti del controllo degli accessi in base al ruolo di Azure per Desktop virtuale Azure Per altre informazioni sul controllo degli accessi in base al ruolo di Azure, vedere la documentazione del controllo degli accessi in base al ruolo di Azure.

A seconda della registrazione del provider di risorse Microsoft.DesktopVirtualization , i nomi delle entità servizio iniziano con Desktop virtuale Azure o Desktop virtuale Windows. Se è stato usato Desktop virtuale Azure classico e Desktop virtuale Azure (Azure Resource Manager), vengono visualizzate app con lo stesso nome. È possibile assicurarsi di assegnare ruoli all'entità servizio corretta controllando il relativo ID applicazione. L'ID applicazione per ogni entità servizio è nella tabella seguente:

Entità servizio	ID applicazione
Azure Virtual Desktop Windows Virtual Desktop	9cdead84-a844-4324-93f2-b2e6bb768d07
Azure Virtual Desktop Client Windows Virtual Desktop Client	a85cf173-4192-42f8-81fa-777a763e6e2c
Azure Virtual Desktop ARM Provider Windows Virtual Desktop ARM Provider	50e95039-b200-4007-bc97-8d5790743a63

Questo articolo illustra come assegnare un ruolo alle entità servizio di Desktop virtuale Azure corrette usando il portale di Azure, l'interfaccia della riga di comando di Azure o Azure PowerShell.

Prerequisiti

Prima di poter assegnare un ruolo a un'entità servizio Desktop virtuale Azure, è necessario soddisfare i prerequisiti seguenti:

• Per assegnare ruoli a tale sottoscrizione, è necessario disporre dell'autorizzazione Microsoft.Authorization/roleAssignments/write per una sottoscrizione di Azure. Questa autorizzazione fa parte del ruolo predefinito Proprietario o Accesso utenti Amministrazione istrator.

• Se si vuole usare Azure PowerShell o l'interfaccia della riga di comando di Azure in locale, vedere Usare l'interfaccia della riga di comando di Azure e Azure PowerShell con Desktop virtuale Azure per assicurarsi che sia installato il modulo Az.DesktopVirtualization di PowerShell o l'estensione dell'interfaccia della riga di comando di Azure desktopvirtualization. In alternativa, usare Azure Cloud Shell.

Assegnare un ruolo a un'entità servizio Desktop virtuale Azure

Per assegnare un ruolo a un'entità servizio Desktop virtuale Azure, selezionare la scheda pertinente per lo scenario e seguire la procedura. In questi esempi l'ambito dell'assegnazione di ruolo è una sottoscrizione di Azure, ma è necessario usare l'ambito e il ruolo richiesto da ogni funzionalità.

Portale

Ecco come assegnare un ruolo a un'entità servizio Desktop virtuale Azure usando il portale di Azure.

1. Accedi al portale di Azure.

2. Nella casella di ricerca immettere Microsoft Entra ID e selezionare la voce corrispondente del servizio.

3. Nella pagina Panoramica, nella casella di ricerca Cerca nel tenant immettere l'ID applicazione per l'entità servizio che si vuole assegnare dalla tabella precedente.

4. Nei risultati selezionare l'applicazione aziendale corrispondente per l'entità servizio da assegnare, avviando Desktop virtuale Azure o Desktop virtuale Windows.

5. In proprietà prendere nota del nome e dell'ID oggetto. L'ID oggetto è correlato all'ID applicazione ed è univoco per il tenant.

6. Nella casella di ricerca immettere Sottoscrizioni e selezionare la voce del servizio corrispondente.

7. Selezionare la sottoscrizione a cui si vuole aggiungere l'assegnazione di ruolo.

8. Selezionare Controllo di accesso (IAM) e quindi + Aggiungi seguito da Aggiungi assegnazione di ruolo.

9. Selezionare il ruolo da assegnare all'entità servizio Desktop virtuale Azure e quindi selezionare Avanti.

10. Assicurarsi che l'opzione Assegna accesso a sia impostata su Utente, gruppo o entità servizio di Microsoft Entra, quindi selezionare Seleziona membri.

11. Immettere il nome dell'applicazione aziendale annotato in precedenza.

12. Selezionare la voce corrispondente nei risultati e quindi selezionare Seleziona. Se sono presenti due voci con lo stesso nome, selezionarle entrambe per il momento.

13. Esaminare l'elenco dei membri nella tabella. Se sono presenti due voci, rimuovere la voce che non corrisponde all'ID oggetto annotato in precedenza.

14. Selezionare Avanti, quindi selezionare Rivedi e assegna per completare l'assegnazione di ruolo.

Azure PowerShell

Ecco come assegnare un ruolo a un'entità servizio Desktop virtuale Azure usando il modulo Az.DesktopVirtualization di PowerShell.

1. Avviare Azure Cloud Shell nel portale di Azure con il tipo di terminale PowerShell oppure eseguire PowerShell nel dispositivo locale.

   1. Se si usa Cloud Shell, assicurarsi che il contesto di Azure sia impostato sulla sottoscrizione da usare.

   2. Se si usa PowerShell in locale, accedere prima con Azure PowerShell, assicurarsi che il contesto di Azure sia impostato sulla sottoscrizione da usare.

2. Trovare l'ID della sottoscrizione a cui si vuole aggiungere l'assegnazione di ruolo elencando tutti gli elementi disponibili con il comando seguente:

   Get-AzSubscription
   

3. Archiviare l'ID sottoscrizione in una variabile eseguendo il comando seguente, sostituendo l'ID sottoscrizione in questo esempio con il proprio:

   $subId = "00000000-0000-0000-0000-000000000000"
   

4. Assegnare il ruolo a un'entità servizio Desktop virtuale Azure eseguendo il comando seguente, sostituendo il valore per il RoleDefinitionName parametro con il nome del ruolo da assegnare e il ApplicationId parametro con ID applicazione dell'entità servizio che si vuole assegnare dalla tabella precedente. In questo esempio viene assegnato il ruolo Collaboratore di Power On Off di Virtualizzazione Desktop desktop desktop all'entità servizio Desktop virtuale Azure nella sottoscrizione:

   $parameters = @{
       RoleDefinitionName = "Desktop Virtualization Power On Off Contributor"
       ApplicationId = "9cdead84-a844-4324-93f2-b2e6bb768d07"
       Scope = "/subscriptions/$subId"
   }
   
   New-AzRoleAssignment @parameters
   

   L'output dovrebbe essere simile all'esempio seguente:

   RoleAssignmentName : c5221262-d1fa-4d32-9d60-8bd86f618d20
   RoleAssignmentId   : /subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleAssignments/c5221262-d1fa-4d32-9d60-8bd86f618d20
   Scope              : /subscriptions/00000000-0000-0000-0000-000000000000
   DisplayName        : Azure Virtual Desktop
   SignInName         : 
   RoleDefinitionName : Desktop Virtualization Power On Off Contributor
   RoleDefinitionId   : 40c5ff49-9181-41f8-ae61-143b0e78555e
   ObjectId           : 00000000-0000-0000-0000-000000000000
   ObjectType         : ServicePrincipal
   CanDelegate        : False
   Description        : 
   ConditionVersion   : 
   Condition          :
   

Interfaccia della riga di comando di Azure

Ecco come assegnare un ruolo a un'entità servizio Desktop virtuale Azure usando l'estensione desktopvirtualization per l'interfaccia della riga di comando di Azure.

1. Avviare Azure Cloud Shell nel portale di Azure con il tipo di terminale Bash oppure eseguire l'interfaccia della riga di comando di Azure nel dispositivo locale.

   1. Se si usa Cloud Shell, assicurarsi che il contesto di Azure sia impostato sulla sottoscrizione da usare.

   2. Se si usa l'interfaccia della riga di comando di Azure in locale, prima accedere con l'interfaccia della riga di comando di Azure, assicurarsi che il contesto di Azure sia impostato sulla sottoscrizione che si vuole usare.

2. Trovare l'ID della sottoscrizione a cui si vuole aggiungere l'assegnazione di ruolo elencando tutti gli elementi disponibili con il comando seguente:

   az account list --output table
   

3. Archiviare il valore per SubscriptionId in una variabile eseguendo il comando seguente, sostituendo l'ID sottoscrizione in questo esempio con il proprio:

   subId=00000000-0000-0000-0000-000000000000
   

4. Assegnare il ruolo a un'entità servizio Desktop virtuale Azure eseguendo il comando seguente, sostituendo il valore per il role parametro con il nome del ruolo da assegnare e il assignee parametro con ID applicazione dell'entità servizio che si vuole assegnare dalla tabella precedente. In questo esempio viene assegnato il ruolo Collaboratore di Power On Off di Virtualizzazione Desktop desktop desktop all'entità servizio Desktop virtuale Azure nella sottoscrizione:

   az role assignment create \
       --assignee "9cdead84-a844-4324-93f2-b2e6bb768d07" \
       --role "Desktop Virtualization Power On Off Contributor" \
       --scope "/subscriptions/$subId"
   

   L'output dovrebbe essere simile all'esempio seguente:

   {
     "condition": null,
     "conditionVersion": null,
     "createdBy": null,
     "createdOn": "2023-06-22T13:50:22.978226+00:00",
     "delegatedManagedIdentityResourceId": null,
     "description": null,
     "id": "/subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleAssignments/a211100e-aa52-4f8d-aac9-ad0833f969d0",
     "name": "a211100e-aa52-4f8d-aac9-ad0833f969d0",
     "principalId": "00000000-0000-0000-0000-000000000000",
     "principalType": "ServicePrincipal",
     "roleDefinitionId": "/subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleDefinitions/40c5ff49-9181-41f8-ae61-143b0e78555e",
     "scope": "/subscriptions/00000000-0000-0000-0000-000000000000",
     "type": "Microsoft.Authorization/roleAssignments",
     "updatedBy": "effe20b0-5afb-4e68-a5d7-f8ef9873a070",
     "updatedOn": "2023-06-22T13:50:23.335229+00:00"
   }
   

Passaggi successivi

Altre informazioni sui ruoli predefiniti del controllo degli accessi in base al ruolo di Azure per Desktop virtuale Azure.