Compartilhar via

Notificações de Recursos do Azure como uma origem da Grade de Eventos do Azure

  • Artigo

As Notificações de Recursos do Azure (ARN) representam o serviço unificado de pub/sub de ponta que atende a todos os recursos do Azure. O ARN explora uma variedade diversificada de editores, e essa riqueza de dados agora está acessível por meio dos tópicos de sistema dedicados da ARN na Grade de Eventos do Azure.

Aqui estão as principais vantagens:

  • Conteúdos abrangentes: as notificações entregues por meio da ARN abrangem todo o conteúdo do recurso. Esse acesso direto leva a uma redução na limitação de leitura, melhorando assim sua experiência geral.
  • Funcionalidades de filtragem aprimoradas: a disponibilidade de cargas abre uma infinidade de opções de filtragem. Use as propriedades dentro do conteúdo para ajustar o fluxo de notificações, adaptando-o para seus cenários específicos.
  • Acesso expandido ao conjunto de dados: o ARN toca em vários editores, permitindo que ele ofereça conjuntos de dados que podem não estar acessíveis por meio de tópicos padrão do sistema.
  • Controle de acesso baseado em função (RBAC) robusto: o ARN é fortificado com uma funcionalidade robusta do RBAC. Esse recurso permite que você configure usuários ou entidades de serviço para assinar exclusivamente os dados para os quais eles têm autorização, dentro do escopo de seu acesso.

Tópicos do sistema RBAC para ARN

Todos os eventos nos tópicos do sistema ARN são emitidos exclusivamente no escopo da assinatura do Azure. Isso implica que a entidade que cria a assinatura de evento para um determinado tipo de tópico recebe notificações para os eventos correspondentes em toda a assinatura do Azure. Por motivos de segurança, é imperativo restringir a capacidade de criar assinaturas de evento neste tópico para entidades de segurança com acesso de leitura em toda a assinatura do Azure.

A partir de hoje, você precisa das seguintes permissões genéricas fornecidas pela Grade de Eventos para criar tópicos do sistema e assinaturas de eventos.

  • microsoft.eventgrid/eventsubscription/write
  • microsoft.eventgrid/systemtopic/eventsubscriptions/write

Além dessas permissões, você precisa conceder as seguintes permissões a usuários ou entidades de segurança para acessar tópicos do sistema ARN. Para cada tipo de tópico, permissões distintas são expostas, garantindo acesso preciso e personalizado:

Tipo de tópico Permissão
HealthResources Microsoft.ResourceNotifications/systemTopics/subscribeToHealthResources/action
Gerenciamento de Recursos do Azure Microsoft.ResourceNotifications/systemTopics/subscribeToResources/action
Recursos do evento ContainerService Microsoft.ResourceNotifications.ContainerServiceEventResources.ScheduledEventEmitted

Para aprimorar a experiência do cliente, uma definição de função interna que abrange todas as permissões necessárias para receber dados por meio de qualquer tópico do sistema ARN está disponível. Essa função inclui permissões exigidas pela Grade de Eventos para o tópico do sistema e a criação da assinatura de evento. Essa definição de função interna é atualizada regularmente para incorporar mais tipos de tópico à medida que se tornam acessíveis por meio de nosso serviço. Como resultado, os usuários atribuídos a essa função interna obtém automaticamente acesso a todos os tipos de tópico futuros do ARN. Você pode optar por utilizar a definição de função interna fornecida ou criar suas próprias definições de função personalizadas para impor o controle de acesso.

Definição de função interna:

{
    "assignableScopes": [
        "/"
    ],
    "description": "Lets you create system topics and event subscriptions on all system topics exposed currently and in the future by Azure Resource Notifications.",
    "id": "/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/roleDefinitions/[guid]",
    "name": "[guid]",
    "permissions": [{
    "actions": [
        "Microsoft.EventGrid/eventSubscription/write",
        "Microsoft.EventGrid/systemTopics/eventSubscriptions/write",
        "Microsoft.ResourceNotifications/systemTopics/subscribeToResources/action",
        "Microsoft.ResourceNotifications/systemTopics/subscribeToHealthResources/action",
        "Microsoft.ResourceNotifications/systemTopics/subscribeToMaintenanceResources/action"
    ],
    "notActions": [],
    "dataActions": [],
    "notDataActions": []
    }],
    "roleName": "Azure Resource Notifications System Topics Subscriber",
    "roleType": "BuiltInRole",
    "type": "Microsoft.Authorization/roleDefinitions"
}

Fale conosco

Se você tiver dúvidas ou comentários sobre esse recursos, não hesite em nos contatar em arnsupport@microsoft.com.

Próximas etapas

Veja os artigos a seguir: