将Azure角色分配管理委托给有条件的其他人

作为管理员，你可能会收到多个请求，以授予对要委派给其他人Azure资源的访问权限。 你可以为用户分配 所有者 或 用户访问管理员 角色，但这些角色是高特权角色。 本文介绍将 角色分配管理委派 给组织中的其他用户的更安全方法，但为这些角色分配添加限制。 例如，可以约束可分配的角色，或限制可向其分配角色的主体。

下图显示了带条件的委托如何只能将 Backup Contributor 角色或 Backup Reader 角色分配（或删除）给营销或销售组。

先决条件

若要分配Azure角色，必须具有：

• Microsoft.Authorization/roleAssignments/write 权限，例如 Role Based 访问控制 Administrator 或 User Access Administrator

步骤 1：确定委托所需的权限

若要帮助确定委托所需的权限，请回答以下问题：

• 委托人可以分配哪些角色？
• 被授权者可以删除哪些角色的分配？
• 委托人可以向哪些类型的主体分配角色？
• 委托人可以向哪些主体分配角色？

知道委托所需的权限后，可以使用以下步骤向委托的角色分配添加条件。 有关条件的示例，请参阅 示例：通过条件委托 Azure 角色分配管理。

步骤 2：启动新的角色分配

1. 登录到 Azure 门户。

2. 按照步骤 打开“添加角色分配”页。

3. 在“ 角色 ”选项卡上，选择 “特权管理员角色 ”选项卡。

4. 选择基于角色的访问控制管理员角色。

   此时会显示“ 条件 ”选项卡。

   可以选择包含 Microsoft.Authorization/roleAssignments/write 或 Microsoft.Authorization/roleAssignments/delete 操作的任何角色，例如 用户访问管理员，但 基于角色的访问控制管理员 的权限更少。

5. 在“成员”选项卡上，找到并选择委派。

步骤 3：添加条件

可通过两种方式添加条件。 可以使用条件模板，也可以使用高级条件编辑器。

步骤 4：分配有条件的角色以委派

1. 在“查看 + 分配”选项卡上，查看角色分配设置。

2. 选择“查看 + 分配”以分配角色。

   片刻之后，委托人将根据您的角色分配条件被分配为基于角色的访问控制管理员角色。

步骤 5：由委派者在具备条件的情况下分配角色

• 代理人现在可以按照步骤来分配角色。

  

  当委托者尝试在Azure门户中分配角色时，角色列表将被筛选，只显示他们能够分配的角色。

  

  如果主体有特定条件，则可用于分配的主体列表也会受到筛选。

  

  如果委托尝试使用 API 分配超出条件的角色，则角色分配失败并出现错误。 有关详细信息，请参阅 症状 - 无法分配角色。

编辑条件

可通过两种方式编辑条件。 可以使用条件模板，也可以使用条件编辑器。

1. 在Azure门户中，打开Access 控件（IAM）页，该角色分配具有要查看、编辑或删除的条件。

2. 选择 “角色分配 ”选项卡并查找角色分配。

3. 在 “条件 ”列中，选择“ 视图/编辑”。

   如果看不到 “视图/编辑” 链接，请确保你的查看范围与你的角色分配一致。

   

   此时会显示 “添加角色分配条件 ”页。 此页将有所不同，具体取决于条件是否与现有模板匹配。

4. 如果条件与现有模板匹配，请选择“ 配置 ”以编辑条件。

   

5. 如果条件与现有模板不匹配，请使用高级条件编辑器编辑条件。

   例如，若要编辑条件，请向下滚动到生成表达式部分并更新属性、运算符或值。

   

   若要直接编辑条件，请选择 代码 编辑器类型，然后编辑条件的代码。

   

6. 完成后，单击“ 保存 ”以更新条件。

后续步骤

• 将Azure访问管理委托给他人
• 授权动作和属性