Samouczek: przypisywanie ról w zaufanym podpisywaniu
Usługa Zaufane podpisywanie ma kilka ról specyficznych dla usługi oprócz standardowych ról platformy Azure. Użyj kontroli dostępu opartej na rolach (RBAC) platformy Azure, aby przypisać role użytkowników i grup dla ról specyficznych dla zaufanego podpisywania.
W tym samouczku zapoznasz się z rolami obsługiwanymi przez zaufane podpisywanie. Następnie przypiszesz role do konta zaufanego podpisywania w witrynie Azure Portal.
Obsługiwane role na potrzeby zaufanego podpisywania
W poniższej tabeli wymieniono role obsługiwane przez zaufane podpisywanie, w tym role, do których każda rola może uzyskiwać dostęp w ramach zasobów usługi:
| Rola | Zarządzanie kontem i wyświetlanie go | Zarządzanie profilami certyfikatów | Podpisywanie przy użyciu profilu certyfikatu | Wyświetlanie historii podpisywania | Zarządzanie przypisaniem roli | Zarządzanie weryfikacją tożsamości |
|---|---|---|---|---|---|---|
| Weryfikator tożsamości zaufanego podpisywania | x | |||||
| Osoba podpisująca profil certyfikatu zaufanego podpisywania | x | x | ||||
| Właściciel | x | x | x | |||
| Współautor | x | x | ||||
| Czytelnik | x | |||||
| Administrator dostępu użytkownika | x |
Rola Weryfikatora zaufanego podpisywania jest wymagana do zarządzania żądaniami weryfikacji tożsamości, które można wykonać tylko w witrynie Azure Portal, a nie przy użyciu interfejsu wiersza polecenia platformy Azure. Rola podpisywania profilu zaufanego certyfikatu jest wymagana do pomyślnego podpisania przy użyciu zaufanego podpisywania.
Przypisywanie ról
W witrynie Azure Portal przejdź do konta zaufanego podpisywania. W menu zasobów wybierz pozycję Kontrola dostępu (Zarządzanie dostępem i tożsamościami)..
Wybierz kartę Role i wyszukaj pozycję Zaufane podpisywanie. Na poniższej ilustracji przedstawiono dwie role niestandardowe.
Aby przypisać te role, wybierz pozycję Dodaj, a następnie wybierz pozycję Dodaj przypisanie roli. Postępuj zgodnie ze wskazówkami w artykule Przypisywanie ról na platformie Azure , aby przypisać odpowiednie role do tożsamości.
Aby utworzyć konto zaufanego podpisywania i profil certyfikatu, musisz mieć przypisaną co najmniej rolę Współautor .
Aby uzyskać bardziej szczegółową kontrolę dostępu na poziomie profilu certyfikatu, możesz użyć interfejsu wiersza polecenia platformy Azure do przypisywania ról. Następujące polecenia umożliwiają przypisanie roli podpisywania profilu zaufanego certyfikatu podpisywania do użytkowników i jednostek usługi w celu podpisywania plików:
az role assignment create --assignee <objectId of user/service principle> --role "Trusted Signing Certificate Profile Signer" --scope "/subscriptions/<subscriptionId>/resourceGroups/<resource-group-name>/providers/Microsoft.CodeSigning/codeSigningAccounts/<trustedsigning-account-name>/certificateProfiles/<profileName>"