通过

你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

az role definition

  • 参考

管理角色定义。

命令

名称 说明 类型 Status
az role definition create

创建自定义角色定义。

 核心 加语
az role definition delete

删除角色定义。

 核心 加语
az role definition list

列出角色定义。

 核心 加语
az role definition show

显示角色定义。

 核心 加语
az role definition update

更新角色定义。

 核心 加语

az role definition create

编辑

创建自定义角色定义。

az role definition create --role-definition

示例

创建具有对存储和网络资源的只读访问权限以及启动或重启 VM 的功能的角色。 （巴什）

az role definition create --role-definition '{
    "Name": "Contoso On-call",
    "Description": "Perform VM actions and read storage and network information.",
    "Actions": [
        "Microsoft.Compute/*/read",
        "Microsoft.Compute/virtualMachines/start/action",
        "Microsoft.Compute/virtualMachines/restart/action",
        "Microsoft.Network/*/read",
        "Microsoft.Storage/*/read",
        "Microsoft.Authorization/*/read",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Resources/subscriptions/resourceGroups/resources/read",
        "Microsoft.Insights/alertRules/*",
        "Microsoft.Support/*"
    ],
    "DataActions": [
        "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/*"
    ],
    "NotDataActions": [
        "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write"
    ],
    "AssignableScopes": ["/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"]
}'

从包含 JSON 说明的文件创建角色。

az role definition create --role-definition @ad-role.json

必需参数

--role-definition

将角色描述为 JSON，或包含 JSON 说明的文件的路径。

全局参数
--debug

增加日志记录详细程度以显示所有调试日志。

--help -h

显示此帮助消息并退出。

--only-show-errors

仅显示错误，禁止显示警告。

--output -o

输出格式。

接受的值: json, jsonc, none, table, tsv, yaml, yamlc
默认值: json
--query

JMESPath 查询字符串。 有关详细信息和示例，请参阅 http://jmespath.org/。

--subscription

订阅的名称或 ID。 可以使用 az account set -s NAME_OR_ID配置默认订阅。

--verbose

增加日志记录详细程度。 对完整调试日志使用 --debug。

az role definition delete

编辑

删除角色定义。

az role definition delete --name
                          [--custom-role-only {false, true}]
                          [--resource-group]
                          [--scope]

示例

删除角色定义。 （自动生成）

az role definition delete --name MyRole

必需参数

--name -n

匹配角色定义的名称（GUID）或 roleName（例如“Reader”）属性。

可选参数

--custom-role-only

仅自定义角色（与内置角色）。

接受的值: false, true
默认值: False
--resource-group -g

仅当在资源组级别添加角色或分配时，才使用它。

--scope

角色分配或定义应用于的范围，例如 /subscriptions/0b1f6471-1bf0-4dda-aec3-1111222223333、/subscriptions/0b1f6471-1bf0-4dda-aec3-1111222223333/resourceGroups/myGroup， 或 /subscriptions/0b1f6471-1bf0-4dda-aec3-111122223333/resourceGroups/myGroup/providers/Microsoft.Compute/virtualMachines/myVM。

全局参数
--debug

增加日志记录详细程度以显示所有调试日志。

--help -h

显示此帮助消息并退出。

--only-show-errors

仅显示错误，禁止显示警告。

--output -o

输出格式。

接受的值: json, jsonc, none, table, tsv, yaml, yamlc
默认值: json
--query

JMESPath 查询字符串。 有关详细信息和示例，请参阅 http://jmespath.org/。

--subscription

订阅的名称或 ID。 可以使用 az account set -s NAME_OR_ID配置默认订阅。

--verbose

增加日志记录详细程度。 对完整调试日志使用 --debug。

az role definition list

编辑

列出角色定义。

az role definition list [--custom-role-only {false, true}]
                        [--name]
                        [--resource-group]
                        [--scope]

可选参数

--custom-role-only

仅自定义角色（与内置角色）。

接受的值: false, true
默认值: False
--name -n

匹配角色定义的名称（GUID）或 roleName（例如“Reader”）属性。 如果提供了 GUID，为了获得更好的性能，请使用 az role definition show 命令。

--resource-group -g

仅当在资源组级别添加角色或分配时，才使用它。

--scope

角色分配或定义应用于的范围，例如 /subscriptions/0b1f6471-1bf0-4dda-aec3-1111222223333、/subscriptions/0b1f6471-1bf0-4dda-aec3-1111222223333/resourceGroups/myGroup， 或 /subscriptions/0b1f6471-1bf0-4dda-aec3-111122223333/resourceGroups/myGroup/providers/Microsoft.Compute/virtualMachines/myVM。

全局参数
--debug

增加日志记录详细程度以显示所有调试日志。

--help -h

显示此帮助消息并退出。

--only-show-errors

仅显示错误，禁止显示警告。

--output -o

输出格式。

接受的值: json, jsonc, none, table, tsv, yaml, yamlc
默认值: json
--query

JMESPath 查询字符串。 有关详细信息和示例，请参阅 http://jmespath.org/。

--subscription

订阅的名称或 ID。 可以使用 az account set -s NAME_OR_ID配置默认订阅。

--verbose

增加日志记录详细程度。 对完整调试日志使用 --debug。

az role definition show

编辑

显示角色定义。

az role definition show [--id]
                        [--name]
                        [--scope]

示例

显示其名称（GUID）的“读取者”角色定义。

az role definition show --scope /subscriptions/00000000-0000-0000-0000-000000000000 --name acdd72a7-3385-48ef-bd42-f606fba81ae7

显示“读取者”角色定义及其资源 ID。

az role definition show --id /subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleDefinitions/acdd72a7-3385-48ef-bd42-f606fba81ae7

可选参数

--id

完全限定的角色定义 ID。 对于订阅级别角色定义，请使用 /subscriptions/{guid}/providers/Microsoft.Authorization/roleDefinitions/{roleDefinitionId}，或用于租户级别角色定义的 /providers/Microsoft.Authorization/roleDefinitions/{roleDefinitionId}。

--name -n

角色定义的名称（GUID）。

--scope

角色分配或定义应用于的范围，例如 /subscriptions/0b1f6471-1bf0-4dda-aec3-1111222223333、/subscriptions/0b1f6471-1bf0-4dda-aec3-1111222223333/resourceGroups/myGroup， 或 /subscriptions/0b1f6471-1bf0-4dda-aec3-111122223333/resourceGroups/myGroup/providers/Microsoft.Compute/virtualMachines/myVM。

全局参数
--debug

增加日志记录详细程度以显示所有调试日志。

--help -h

显示此帮助消息并退出。

--only-show-errors

仅显示错误，禁止显示警告。

--output -o

输出格式。

接受的值: json, jsonc, none, table, tsv, yaml, yamlc
默认值: json
--query

JMESPath 查询字符串。 有关详细信息和示例，请参阅 http://jmespath.org/。

--subscription

订阅的名称或 ID。 可以使用 az account set -s NAME_OR_ID配置默认订阅。

--verbose

增加日志记录详细程度。 对完整调试日志使用 --debug。

az role definition update

编辑

更新角色定义。

az role definition update --role-definition

示例

使用“az role definition list”的输出更新角色。 （巴什）

az role definition update --role-definition '{
    "roleName": "Contoso On-call",
    "Description": "Perform VM actions and read storage and network information.",
    "id": "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/providers/Microsoft.Authorization/roleDefinitions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
    "roleType": "CustomRole",
    "type": "Microsoft.Authorization/roleDefinitions",
    "Actions": [
        "Microsoft.Compute/*/read",
        "Microsoft.Compute/virtualMachines/start/action",
        "Microsoft.Compute/virtualMachines/restart/action",
        "Microsoft.Network/*/read",
        "Microsoft.Storage/*/read",
        "Microsoft.Authorization/*/read",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Resources/subscriptions/resourceGroups/resources/read",
        "Microsoft.Support/*"
    ],
    "DataActions": [
        "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/*"
    ],
    "NotDataActions": [
        "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write"
    ],
    "AssignableScopes": ["/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"]
}'

必需参数

--role-definition

将现有角色描述为 JSON，或包含 JSON 说明的文件的路径。

全局参数
--debug

增加日志记录详细程度以显示所有调试日志。

--help -h

显示此帮助消息并退出。

--only-show-errors

仅显示错误，禁止显示警告。

--output -o

输出格式。

接受的值: json, jsonc, none, table, tsv, yaml, yamlc
默认值: json
--query

JMESPath 查询字符串。 有关详细信息和示例，请参阅 http://jmespath.org/。

--subscription

订阅的名称或 ID。 可以使用 az account set -s NAME_OR_ID配置默认订阅。

--verbose

增加日志记录详细程度。 对完整调试日志使用 --debug。