Przypisywanie ról RBAC platformy Azure lub ról usługi Microsoft Entra do jednostek usługi Azure Virtual Desktop

Kilka funkcji usługi Azure Virtual Desktop wymaga przypisania ról kontroli dostępu na podstawie ról (RBAC) platformy Azure lub ról firmy Microsoft Entra do jednej z jednostek usługi usługi Azure Virtual Desktop. Funkcje, które należy przypisać do jednostki usługi Azure Virtual Desktop, obejmują:

• Dołączanie aplikacji (w przypadku korzystania z usługi Azure Files i hostów sesji dołączonych do identyfikatora Entra firmy Microsoft).
• Autoskalowanie.
• Aktualizacja hosta sesji
• Uruchom maszynę wirtualną w programie Connect.

Napiwek

Możesz znaleźć rolę lub role, które należy przypisać do jednostki usługi w artykule dla każdej funkcji. Aby uzyskać listę wszystkich dostępnych ról RBAC platformy Azure utworzonych specjalnie dla usługi Azure Virtual Desktop, zobacz Wbudowane role RBAC platformy Azure dla usługi Azure Virtual Desktop. Aby dowiedzieć się więcej na temat kontroli dostępu opartej na rolach platformy Azure, zobacz dokumentację RBAC platformy Azure lub role entra firmy Microsoft, zobacz dokumentację dotyczącą ról firmy Microsoft.

W zależności od tego, kiedy zarejestrowano dostawcę zasobów Microsoft.DesktopVirtualization , nazwy główne usługi zaczynają się od usługi Azure Virtual Desktop lub Windows Virtual Desktop. Ponadto jeśli wcześniej użyto klasycznej usługi Azure Virtual Desktop i usługi Azure Virtual Desktop (Azure Resource Manager), zobaczysz aplikacje o tej samej nazwie. Możesz upewnić się, że przypisujesz role do prawidłowej jednostki usługi, sprawdzając jej identyfikator aplikacji. Identyfikator aplikacji dla każdej jednostki usługi znajduje się w poniższej tabeli:

Jednostka usługi	Application ID
Azure Virtual Desktop Windows Virtual Desktop	9cdead84-a844-4324-93f2-b2e6bb768d07
Azure Virtual Desktop Client Windows Virtual Desktop Client	a85cf173-4192-42f8-81fa-777a763e6e2c
Azure Virtual Desktop ARM Provider Windows Virtual Desktop ARM Provider	50e95039-b200-4007-bc97-8d5790743a63

W tym artykule przedstawiono sposób przypisywania ról RBAC platformy Azure lub ról usługi Microsoft Entra do odpowiednich jednostek usługi Azure Virtual Desktop przy użyciu witryny Azure Portal, interfejsu wiersza polecenia platformy Azure lub programu Azure PowerShell.

Wymagania wstępne

Przed przypisaniem roli do jednostki usługi Azure Virtual Desktop należy spełnić następujące wymagania wstępne:

• Aby przypisać role RBAC platformy Azure, musisz mieć Microsoft.Authorization/roleAssignments/write uprawnienie do subskrypcji platformy Azure, aby przypisać role w tej subskrypcji. To uprawnienie jest częścią ról wbudowanych właściciela lub administratora dostępu użytkowników.

• Aby przypisać role firmy Microsoft Entra, musisz mieć rolę Administrator ról uprzywilejowanych lub Administrator globalny.

• Jeśli chcesz używać programu Azure PowerShell lub interfejsu wiersza polecenia platformy Azure lokalnie, zobacz Używanie interfejsu wiersza polecenia platformy Azure i programu Azure PowerShell z usługą Azure Virtual Desktop, aby upewnić się, że masz zainstalowany moduł Az.DesktopVirtualization programu PowerShell lub rozszerzenie interfejsu wiersza polecenia platformy Azure dla komputerów wirtualnych. Alternatywnie użyj usługi Azure Cloud Shell.

Przypisywanie roli RBAC platformy Azure do jednostki usługi Azure Virtual Desktop

Aby przypisać rolę RBAC platformy Azure do jednostki usługi Azure Virtual Desktop, wybierz odpowiednią kartę dla danego scenariusza i wykonaj kroki. W tych przykładach zakres przypisania roli to subskrypcja platformy Azure, ale musisz użyć zakresu i roli wymaganej przez każdą funkcję.

Azure Portal

Poniżej przedstawiono sposób przypisywania roli RBAC platformy Azure do jednostki usługi azure Virtual Desktop w zakresie subskrypcji przy użyciu witryny Azure Portal.

1. Zaloguj się w witrynie Azure Portal.

2. W polu wyszukiwania wpisz Microsoft Entra ID i wybierz pasujący wpis usługi.

3. Na stronie Przegląd w polu wyszukiwania Wyszukaj w dzierżawie wprowadź identyfikator aplikacji dla jednostki usługi, którą chcesz przypisać z wcześniejszej tabeli.

4. W wynikach wybierz zgodną aplikację przedsiębiorstwa dla jednostki usługi, którą chcesz przypisać, zaczynając od usługi Azure Virtual Desktop lub Windows Virtual Desktop.

5. W obszarze właściwości zanotuj nazwę i identyfikator obiektu. Identyfikator obiektu jest skorelowany z identyfikatorem aplikacji i jest unikatowy dla dzierżawy.

6. Wróć do pola wyszukiwania, wprowadź ciąg Subskrypcje i wybierz pasujący wpis usługi.

7. Wybierz subskrypcję, do której chcesz dodać przypisanie roli.

8. Wybierz pozycję Kontrola dostępu (zarządzanie dostępem i tożsamościami), a następnie wybierz pozycję + Dodaj , a następnie dodaj przypisanie roli.

9. Wybierz rolę, którą chcesz przypisać do jednostki usługi Azure Virtual Desktop, a następnie wybierz pozycję Dalej.

10. Upewnij się, że pozycja Przypisz dostęp do jest ustawiona na wartość Microsoft Entra user, group lub service principal, a następnie wybierz pozycję Wybierz członków.

11. Wprowadź nazwę aplikacji dla przedsiębiorstw zanotuj wcześniej.

12. Wybierz pasujący wpis z wyników, a następnie wybierz pozycję Wybierz. Jeśli masz dwa wpisy o tej samej nazwie, wybierz je na razie.

13. Przejrzyj listę elementów członkowskich w tabeli. Jeśli masz dwa wpisy, usuń wpis, który nie jest zgodny z identyfikatorem obiektu zanotowanymi wcześniej.

14. Wybierz pozycję Dalej, a następnie wybierz pozycję Przejrzyj i przypisz , aby ukończyć przypisanie roli.

Azure PowerShell

Poniżej przedstawiono sposób przypisywania roli RBAC platformy Azure do jednostki usługi Azure Virtual Desktop w zakresie subskrypcji przy użyciu modułu Az.DesktopVirtualization programu PowerShell.

1. Otwórz usługę Azure Cloud Shell w witrynie Azure Portal z typem terminalu programu PowerShell lub uruchom program PowerShell na urządzeniu lokalnym.

   • Jeśli używasz usługi Cloud Shell, upewnij się, że kontekst platformy Azure jest ustawiony na subskrypcję, której chcesz użyć.

   • Jeśli używasz programu PowerShell lokalnie, najpierw zaloguj się przy użyciu programu Azure PowerShell, a następnie upewnij się, że kontekst platformy Azure jest ustawiony na subskrypcję, której chcesz użyć.

2. Znajdź identyfikator subskrypcji, do której chcesz dodać przypisanie roli, wyświetlając listę wszystkich dostępnych dla Ciebie za pomocą następującego polecenia:

   Get-AzSubscription
   

3. Zapisz identyfikator subskrypcji w zmiennej, uruchamiając następujące polecenie, zastępując identyfikator subskrypcji w tym przykładzie własnym:

   $subId = "<SubscriptionID>"
   

4. Przypisz rolę do jednostki usługi azure Virtual Desktop, uruchamiając następujące polecenie, zastępując wartość RoleDefinitionName parametru nazwą roli, którą chcesz przypisać, oraz ApplicationId parametr identyfikatorem aplikacji jednostki usługi, którą chcesz przypisać z wcześniejszej tabeli. W tym przykładzie przypisano rolę Współautor włączania wirtualizacji pulpitu do jednostki usługi Azure Virtual Desktop w ramach subskrypcji:

   $parameters = @{
       RoleDefinitionName = "Desktop Virtualization Power On Off Contributor"
       ApplicationId = "9cdead84-a844-4324-93f2-b2e6bb768d07"
       Scope = "/subscriptions/$subId"
   }
   
   New-AzRoleAssignment @parameters
   

   Dane wyjściowe powinny być podobne do następującego przykładu:

   RoleAssignmentName : c5221262-d1fa-4d32-9d60-8bd86f618d20
   RoleAssignmentId   : /subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleAssignments/c5221262-d1fa-4d32-9d60-8bd86f618d20
   Scope              : /subscriptions/00000000-0000-0000-0000-000000000000
   DisplayName        : Azure Virtual Desktop
   SignInName         : 
   RoleDefinitionName : Desktop Virtualization Power On Off Contributor
   RoleDefinitionId   : 40c5ff49-9181-41f8-ae61-143b0e78555e
   ObjectId           : aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
   ObjectType         : ServicePrincipal
   CanDelegate        : False
   Description        : 
   ConditionVersion   : 
   Condition          :
   

Interfejs wiersza polecenia platformy Azure

Poniżej przedstawiono sposób przypisywania roli RBAC platformy Azure do jednostki usługi usługi Azure Virtual Desktop w zakresie subskrypcji przy użyciu rozszerzenia pulpituwirtualizacji dla interfejsu wiersza polecenia platformy Azure.

1. Otwórz usługę Azure Cloud Shell w witrynie Azure Portal z typem terminalu powłoki Bash lub uruchom interfejs wiersza polecenia platformy Azure na urządzeniu lokalnym.

   • Jeśli używasz usługi Cloud Shell, upewnij się, że kontekst platformy Azure jest ustawiony na subskrypcję, której chcesz użyć.

   • Jeśli używasz interfejsu wiersza polecenia platformy Azure lokalnie, najpierw zaloguj się przy użyciu interfejsu wiersza polecenia platformy Azure, a następnie upewnij się, że kontekst platformy Azure jest ustawiony na subskrypcję, której chcesz użyć.

2. Znajdź identyfikator subskrypcji, do której chcesz dodać przypisanie roli, wyświetlając listę wszystkich dostępnych dla Ciebie za pomocą następującego polecenia:

   az account list --output table
   

3. Zapisz wartość subscriptionId w zmiennej, uruchamiając następujące polecenie, zastępując identyfikator subskrypcji w tym przykładzie własnym:

   subId=00000000-0000-0000-0000-000000000000
   

4. Przypisz rolę do jednostki usługi azure Virtual Desktop, uruchamiając następujące polecenie, zastępując wartość role parametru nazwą roli, którą chcesz przypisać, oraz assignee parametr identyfikatorem aplikacji jednostki usługi, którą chcesz przypisać z wcześniejszej tabeli. W tym przykładzie przypisano rolę Współautor włączania wirtualizacji pulpitu do jednostki usługi Azure Virtual Desktop w ramach subskrypcji:

   az role assignment create \
       --assignee "9cdead84-a844-4324-93f2-b2e6bb768d07" \
       --role "Desktop Virtualization Power On Off Contributor" \
       --scope "/subscriptions/$subId"
   

   Dane wyjściowe powinny być podobne do następującego przykładu:

   {
     "condition": null,
     "conditionVersion": null,
     "createdBy": null,
     "createdOn": "2023-06-22T13:50:22.978226+00:00",
     "delegatedManagedIdentityResourceId": null,
     "description": null,
     "id": "/subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleAssignments/a211100e-aa52-4f8d-aac9-ad0833f969d0",
     "name": "a211100e-aa52-4f8d-aac9-ad0833f969d0",
     "principalId": "00000000-0000-0000-0000-000000000000",
     "principalType": "ServicePrincipal",
     "roleDefinitionId": "/subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleDefinitions/40c5ff49-9181-41f8-ae61-143b0e78555e",
     "scope": "/subscriptions/00000000-0000-0000-0000-000000000000",
     "type": "Microsoft.Authorization/roleAssignments",
     "updatedBy": "effe20b0-5afb-4e68-a5d7-f8ef9873a070",
     "updatedOn": "2023-06-22T13:50:23.335229+00:00"
   }
   

Przypisywanie roli Entra firmy Microsoft do jednostki usługi Azure Virtual Desktop

Aby przypisać rolę Firmy Microsoft Entra do jednostki usługi Azure Virtual Desktop, wybierz odpowiednią kartę dla danego scenariusza i wykonaj kroki. W tych przykładach zakres przypisania roli to subskrypcja platformy Azure, ale musisz użyć zakresu i roli wymaganej przez każdą funkcję.

Poniżej przedstawiono sposób przypisywania roli Entra firmy Microsoft do jednostki usługi usługi Azure Virtual Desktop o zakresie do dzierżawy przy użyciu witryny Azure Portal.

1. Zaloguj się w witrynie Azure Portal.

2. W polu wyszukiwania wpisz Microsoft Entra ID i wybierz pasujący wpis usługi.

3. Wybierz pozycję Role i administratorzy.

4. Wyszukaj i wybierz nazwę roli, którą chcesz przypisać. Jeśli chcesz przypisać rolę niestandardową, zobacz Tworzenie roli niestandardowej, aby utworzyć ją jako pierwszą.

5. Wybierz pozycję Dodaj przypisania.

6. W polu wyszukiwania wprowadź identyfikator aplikacji jednostki usługi, którą chcesz przypisać z wcześniejszej tabeli, na przykład 9cdead84-a844-4324-93f2-b2e6bb768d07.

7. Zaznacz pole wyboru obok pasującego wpisu, a następnie wybierz pozycję Dodaj , aby ukończyć przypisanie roli.

Następne kroki

Dowiedz się więcej o wbudowanych rolach RBAC platformy Azure dla usługi Azure Virtual Desktop.