Atribuir funções do Azure RBAC ou do Microsoft Entra às entidades de serviço da Área de Trabalho Virtual do Azure

Vários recursos da Área de Trabalho Virtual do Azure exigem que você atribua funções de controle de acesso baseado em função do Azure (Azure RBAC) ou funções do Microsoft Entra a uma das entidades de serviço da Área de Trabalho Virtual do Azure. Os recursos necessários para atribuir uma função a uma entidade de serviço da Área de Trabalho Virtual do Azure incluem:

• Anexar aplicações (ao utilizar os Ficheiros do Azure e os seus anfitriões de sessão associados ao Microsoft Entra ID).
• Dimensionamento Automático.
• Atualização do host da sessão
• Inicie a VM em Conectar.

Gorjeta

Você pode encontrar qual função ou funções precisa atribuir a qual entidade de serviço no artigo para cada recurso. Para obter uma lista de todas as funções RBAC do Azure disponíveis criadas especificamente para a Área de Trabalho Virtual do Azure, consulte Funções internas do RBAC do Azure para a Área de Trabalho Virtual do Azure. Para saber mais sobre o RBAC do Azure, consulte a documentação do RBAC do Azure ou, para funções do Microsoft Entra, consulte a documentação de funções do Microsoft Entra.

Dependendo de quando você registrou o provedor de recursos Microsoft.DesktopVirtualization , os nomes da entidade de serviço começam com a Área de Trabalho Virtual do Azure ou a Área de Trabalho Virtual do Windows. Além disso, se você usou anteriormente o clássico da Área de Trabalho Virtual do Azure e a Área de Trabalho Virtual do Azure (Gerenciador de Recursos do Azure), verá aplicativos com o mesmo nome. Você pode ter certeza de que está atribuindo funções à entidade de serviço correta verificando a ID do aplicativo. A ID do aplicativo para cada entidade de serviço está na tabela a seguir:

Service principal (Principal de serviço)	ID da aplicação
Azure Virtual Desktop Windows Virtual Desktop	9cdead84-a844-4324-93f2-b2e6bb768d07
Azure Virtual Desktop Client Windows Virtual Desktop Client	a85cf173-4192-42f8-81fa-777a763e6e2c
Azure Virtual Desktop ARM Provider Windows Virtual Desktop ARM Provider	50e95039-b200-4007-bc97-8d5790743a63

Este artigo mostra como atribuir funções RBAC do Azure ou funções do Microsoft Entra às entidades de serviço corretas da Área de Trabalho Virtual do Azure usando o portal do Azure, a CLI do Azure ou o Azure PowerShell.

Pré-requisitos

Antes de atribuir uma função a uma entidade de serviço da Área de Trabalho Virtual do Azure, você precisa atender aos seguintes pré-requisitos:

• Para atribuir funções do RBAC do Azure, você deve ter a Microsoft.Authorization/roleAssignments/write permissão para uma assinatura do Azure para atribuir funções nessa assinatura. Esta permissão faz parte das funções incorporadas de Proprietário ou Administrador de Acesso de Utilizador .

• Para atribuir funções do Microsoft Entra, você deve ter a função de Administrador de Função Privilegiada ou Administrador Global .

• Se você quiser usar o Azure PowerShell ou a CLI do Azure localmente, consulte Usar a CLI do Azure e o Azure PowerShell com a Área de Trabalho Virtual do Azure para garantir que você tenha o módulo do PowerShell Az.DesktopVirtualization ou a extensão da CLI do Azure de virtualização de área de trabalho instalada. Como alternativa, use o Azure Cloud Shell.

Atribuir uma função RBAC do Azure a uma entidade de serviço da Área de Trabalho Virtual do Azure

Para atribuir uma função RBAC do Azure a uma entidade de serviço da Área de Trabalho Virtual do Azure, selecione a guia relevante para seu cenário e siga as etapas. Nesses exemplos, o escopo da atribuição de função é uma assinatura do Azure, mas você precisa usar o escopo e a função exigidos por cada recurso.

Portal do Azure

Veja como atribuir uma função RBAC do Azure a uma entidade de serviço da Área de Trabalho Virtual do Azure com escopo para uma assinatura usando o portal do Azure.

1. Inicie sessão no portal do Azure.

2. Na caixa de pesquisa, digite Microsoft Entra ID e selecione a entrada de serviço correspondente.

3. Na página Visão geral, na caixa de pesquisa Pesquisar seu locatário, insira a ID do aplicativo para a entidade de serviço que você deseja atribuir na tabela anterior.

4. Nos resultados, selecione o aplicativo empresarial correspondente para a entidade de serviço que você deseja atribuir, iniciando a Área de Trabalho Virtual do Azure ou a Área de Trabalho Virtual do Windows.

5. Em Propriedades, anote o nome e a ID do objeto. A ID do objeto está correlacionada à ID do aplicativo e é exclusiva do seu locatário.

6. Volte à caixa de pesquisa, introduza Subscrições e selecione a entrada de serviço correspondente.

7. Selecione a assinatura à qual você deseja adicionar a atribuição de função.

8. Selecione Controle de acesso (IAM) e, em seguida, selecione + Adicionar seguido de Adicionar atribuição de função.

9. Selecione a função que deseja atribuir à entidade de serviço da Área de Trabalho Virtual do Azure e selecione Avançar.

10. Verifique se Atribuir acesso a está definido como usuário, grupo ou entidade de serviço do Microsoft Entra e selecione Selecionar membros.

11. Digite o nome do aplicativo corporativo que você anotou anteriormente.

12. Selecione a entrada correspondente nos resultados e, em seguida, selecione Selecionar. Se você tiver duas entradas com o mesmo nome, selecione-as ambas por enquanto.

13. Analise a lista de membros na tabela. Se você tiver duas entradas, remova a entrada que não corresponde à ID do objeto que você anotou anteriormente.

14. Selecione Avançar e, em seguida, selecione Rever + atribuir para concluir a atribuição de função.

Azure PowerShell

Veja como atribuir uma função RBAC do Azure a uma entidade de serviço de Área de Trabalho Virtual do Azure com escopo para uma assinatura usando o módulo Az.DesktopVirtualization PowerShell.

1. Abra o Azure Cloud Shell no portal do Azure com o tipo de terminal do PowerShell ou execute o PowerShell no seu dispositivo local.

   • Se estiver a utilizar o Cloud Shell, certifique-se de que o seu contexto do Azure está definido para a subscrição que pretende utilizar.

   • Se estiver a utilizar o PowerShell localmente, inicie sessão primeiro com o Azure PowerShell e, em seguida, certifique-se de que o seu contexto do Azure está definido para a subscrição que pretende utilizar.

2. Encontre a ID da assinatura à qual você deseja adicionar a atribuição de função listando todos os que estão disponíveis para você com o seguinte comando:

   Get-AzSubscription
   

3. Armazene o ID da assinatura em uma variável executando o seguinte comando, substituindo o ID da assinatura neste exemplo pelo seu:

   $subId = "<SubscriptionID>"
   

4. Atribua a função a uma entidade de serviço da Área de Trabalho Virtual do Azure executando o comando a seguir, substituindo o valor do RoleDefinitionName parâmetro pelo nome da função que você precisa atribuir e o ApplicationId parâmetro com a ID do aplicativo da entidade de serviço que você deseja atribuir na tabela anterior. Este exemplo atribui a função de Colaborador Power On Off da Virtualização de Área de Trabalho à entidade de serviço da Área de Trabalho Virtual do Azure na assinatura:

   $parameters = @{
       RoleDefinitionName = "Desktop Virtualization Power On Off Contributor"
       ApplicationId = "9cdead84-a844-4324-93f2-b2e6bb768d07"
       Scope = "/subscriptions/$subId"
   }
   
   New-AzRoleAssignment @parameters
   

   Sua saída deve ser semelhante ao exemplo a seguir:

   RoleAssignmentName : c5221262-d1fa-4d32-9d60-8bd86f618d20
   RoleAssignmentId   : /subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleAssignments/c5221262-d1fa-4d32-9d60-8bd86f618d20
   Scope              : /subscriptions/00000000-0000-0000-0000-000000000000
   DisplayName        : Azure Virtual Desktop
   SignInName         : 
   RoleDefinitionName : Desktop Virtualization Power On Off Contributor
   RoleDefinitionId   : 40c5ff49-9181-41f8-ae61-143b0e78555e
   ObjectId           : aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
   ObjectType         : ServicePrincipal
   CanDelegate        : False
   Description        : 
   ConditionVersion   : 
   Condition          :
   

CLI do Azure

Veja como atribuir uma função RBAC do Azure a uma entidade de serviço de Área de Trabalho Virtual do Azure com escopo para uma assinatura usando a extensão desktopvirtualization para CLI do Azure.

1. Abra o Azure Cloud Shell no portal do Azure com o tipo de terminal Bash ou execute a CLI do Azure no seu dispositivo local.

   • Se estiver a utilizar o Cloud Shell, certifique-se de que o seu contexto do Azure está definido para a subscrição que pretende utilizar.

   • Se você estiver usando a CLI do Azure localmente, primeiro entre com a CLI do Azure e, em seguida, verifique se o contexto do Azure está definido para a assinatura que você deseja usar.

2. Encontre a ID da assinatura à qual você deseja adicionar a atribuição de função listando todos os que estão disponíveis para você com o seguinte comando:

   az account list --output table
   

3. Armazene o valor de SubscriptionId em uma variável executando o seguinte comando, substituindo o ID de assinatura neste exemplo pelo seu:

   subId=00000000-0000-0000-0000-000000000000
   

4. Atribua a função a uma entidade de serviço da Área de Trabalho Virtual do Azure executando o comando a seguir, substituindo o valor do role parâmetro pelo nome da função que você precisa atribuir e o assignee parâmetro com a ID do aplicativo da entidade de serviço que você deseja atribuir na tabela anterior. Este exemplo atribui a função de Colaborador Power On Off da Virtualização de Área de Trabalho à entidade de serviço da Área de Trabalho Virtual do Azure na assinatura:

   az role assignment create \
       --assignee "9cdead84-a844-4324-93f2-b2e6bb768d07" \
       --role "Desktop Virtualization Power On Off Contributor" \
       --scope "/subscriptions/$subId"
   

   Sua saída deve ser semelhante ao exemplo a seguir:

   {
     "condition": null,
     "conditionVersion": null,
     "createdBy": null,
     "createdOn": "2023-06-22T13:50:22.978226+00:00",
     "delegatedManagedIdentityResourceId": null,
     "description": null,
     "id": "/subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleAssignments/a211100e-aa52-4f8d-aac9-ad0833f969d0",
     "name": "a211100e-aa52-4f8d-aac9-ad0833f969d0",
     "principalId": "00000000-0000-0000-0000-000000000000",
     "principalType": "ServicePrincipal",
     "roleDefinitionId": "/subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleDefinitions/40c5ff49-9181-41f8-ae61-143b0e78555e",
     "scope": "/subscriptions/00000000-0000-0000-0000-000000000000",
     "type": "Microsoft.Authorization/roleAssignments",
     "updatedBy": "effe20b0-5afb-4e68-a5d7-f8ef9873a070",
     "updatedOn": "2023-06-22T13:50:23.335229+00:00"
   }
   

Atribuir uma função do Microsoft Entra a uma entidade de serviço da Área de Trabalho Virtual do Azure

Para atribuir uma função do Microsoft Entra a uma entidade de serviço da Área de Trabalho Virtual do Azure, selecione a guia relevante para seu cenário e siga as etapas. Nesses exemplos, o escopo da atribuição de função é uma assinatura do Azure, mas você precisa usar o escopo e a função exigidos por cada recurso.

Veja como atribuir uma função do Microsoft Entra a uma entidade de serviço da Área de Trabalho Virtual do Azure com escopo para um locatário usando o portal do Azure.

1. Inicie sessão no portal do Azure.

2. Na caixa de pesquisa, digite Microsoft Entra ID e selecione a entrada de serviço correspondente.

3. Selecione Funções e administradores.

4. Procure e selecione o nome da função que deseja atribuir. Se você quiser atribuir uma função personalizada, consulte Criar uma função personalizada para criá-la primeiro.

5. Selecione Adicionar atribuições.

6. Na caixa de pesquisa, insira o ID do aplicativo para a entidade de serviço que você deseja atribuir na tabela anterior, por exemplo , 9cdead84-a844-4324-93f2-b2e6bb768d07.

7. Marque a caixa ao lado da entrada correspondente e selecione Adicionar para concluir a atribuição de função.

Próximos passos

Saiba mais sobre as funções internas do RBAC do Azure para a Área de Trabalho Virtual do Azure.