在 Azure 自动化中管理角色权限和安全性

Azure 基于角色的访问控制 (Azure RBAC) 可用于对 Azure 资源进行访问管理。 使用 Azure RBAC，可以在团队中对职责进行分配，仅向用户、组和应用程序授予执行作业所需的访问权限。 可以使用 Azure 门户、Azure 命令行工具或 Azure 管理 API 将基于角色的访问权限授予用户。

自动化帐户中的角色

在 Azure 自动化中，访问权限是通过将相应的 Azure 角色分配给自动化帐户作用域的用户、组和应用程序来授予的。 以下是自动化帐户所支持的内置角色：

角色权限

下表描述授予每个角色的特定权限。 这可能包括授予权限的“操作”和限制权限的“不操作”。

所有者

所有者可管理所有内容，包括访问权限。 下表显示了授予角色的权限：

贡献者

贡献者可以管理除访问权限外的所有事项。 下表显示了为该角色授予和拒绝的权限：

读取者

读取者可以查看自动化帐户中的所有资源，但不能进行任何更改。

自动化参与者

自动化参与者可管理自动化帐户中除访问权限之外的所有资源。 下表显示了授予角色的权限：

自动化操作员

自动化操作员能够创建和管理作业，并读取某个自动化帐户中所有运行手册的名称和属性。

下表显示了授予角色的权限：

自动化作业操作员

自动化作业操作员角色是在自动化帐户范围内授予的。 这将授予操作员权限，使其能够为该账户中的所有运行手册创建和管理作业。 如果为作业操作员角色授予对自动化帐户所在资源组的读取权限，则该角色的成员可以启动运行手册。 但是，他们无权创建、编辑或删除运行手册。

下表显示了授予角色的权限：

自动化 Runbook 操作员

自动化运行簿操作员角色是在运行簿范围内授予的。 自动化运行手册操作员可以查看运行手册的名称和属性。 此角色与自动化作业操作员角色结合后，还可使该操作员能够为 Runbook 创建和管理作业。 下表显示了授予角色的权限：

Log Analytics 参与者

Log Analytics 参与者可以读取所有监视数据并编辑监视设置。 编辑监视设置包括向 VM 添加 VM 扩展、读取存储帐户密钥以便能够从 Azure 存储配置日志收集、创建和配置自动化帐户、添加功能以及配置对所有 Azure 资源的 Azure 诊断。 下表显示了授予角色的权限：

Log Analytics 读者

Log Analytics 读者可以查看和搜索所有监视数据并查看监视设置，其中包括查看所有 Azure 资源上的 Azure 诊断的配置。 下表显示了授予或拒绝角色的权限：

监视参与者

监视参与者可以读取所有监视数据并更新监视设置。 下表显示了授予角色的权限：

监视读取者

监视读取者可以读取所有监视数据。 下表显示了授予角色的权限：

用户访问管理员

用户访问管理员可管理 Azure 资源的用户访问权限。 下表显示了授予角色的权限：

读者角色访问权限

自动化帐户的内置读取者角色不能使用 API – GET /AUTOMATIONACCOUNTS/AGENTREGISTRATIONINFORMATION 来提取自动化帐户密钥。 这是一项会提供敏感信息的高权限操作，可能造成安全风险，因为拥有较低权限的可恨恶意参与者可以访问自动化帐户密钥，并使用提升的权限级别执行操作。

若要访问 API – GET /AUTOMATIONACCOUNTS/AGENTREGISTRATIONINFORMATION，建议切换到内置角色（如所有者、参与者或自动化参与者）来访问自动化帐户密钥。 默认情况下，这些角色将具有 listKeys 权限。 我们建议你创建具有有限权限的自定义角色来访问自动化帐户密钥，这是最佳做法。 对于自定义角色，需要向角色定义添加 Microsoft.Automation/automationAccounts/listKeys/action 权限。 详细了解如何通过 Azure 门户创建自定义角色。

功能设置权限

以下部分介绍启用更新管理功能所需的最低权限。

从虚拟机启用更新管理的权限

¹ 通过 VM 门户体验启用功能需要此权限。

从自动化帐户启用更新管理的权限

管理混合工作组和混合工作者的角色权限

你可以在自动化中创建 Azure 自定义角色，并向混合辅助角色组和混合辅助角色授予以下权限：

• 基于扩展的混合运行手册辅助角色

为自动化帐户配置 Azure RBAC

以下部分演示如何通过 Azure 门户和 PowerShell 在自动化帐户上配置 Azure RBAC。

使用 Azure 门户配置 Azure RBAC

1. 登录到 Azure 门户，然后从“自动化帐户”页打开自动化帐户。

2. 选择“访问控制(IAM)”并从可用角色列表中选择角色。 可以选择自动化帐户所支持的任何可用的内置角色，或者可能已定义的任何自定义角色。 将角色分配给要向其授予权限的用户。

   有关详细步骤，请参阅使用 Azure 门户分配 Azure 角色。

   注释

   只能在自动化帐户范围内设置基于角色的访问控制，不能在自动化帐户下的任何资源上设置。

删除用户的角色分配

可以删除不管理自动化帐户或不再为组织工作的用户的访问权限。 以下步骤演示如何删除用户的角色分配。 有关详细步骤，请参阅删除 Azure 角色分配：

1. 在要删除访问权限的范围（例如管理组、订阅、资源组或资源）内打开“访问控制(IAM)”。

2. 选择“角色分配”选项卡以查看在此范围内的所有角色分配。

3. 在角色分配列表中，在具有要删除的角色分配的用户旁边添加一个复选标记。

4. 选择 删除。

   

使用 PowerShell 配置 Azure RBAC

还可以使用以下 Azure PowerShell cmdlet 为自动化帐户配置基于角色的访问权限：

Get-AzRoleDefinition 列出了 Microsoft Entra ID 中提供的所有 Azure 角色。 可以将此 cmdlet 与 Name 参数一起使用来列出特定角色可以执行的所有操作。

Get-AzRoleDefinition -Name 'Automation Operator'

下面是示例输出：

Name             : Automation Operator
Id               : d3881f73-407a-4167-8283-e981cbba0404
IsCustom         : False
Description      : Automation Operators are able to start, stop, suspend, and resume jobs
Actions          : {Microsoft.Authorization/*/read, Microsoft.Automation/automationAccounts/jobs/read, Microsoft.Automation/automationAccounts/jobs/resume/action,
                   Microsoft.Automation/automationAccounts/jobs/stop/action...}
NotActions       : {}
AssignableScopes : {/}

Get-AzRoleAssignment 列出了指定范围内的 Azure 角色分配。 在没有任何参数的情况下，此 cmdlet 返回在订阅下进行的所有角色分配。 使用 ExpandPrincipalGroups 参数可列出针对指定用户和该用户所在组的访问权限分配。

示例： 使用以下 cmdlet 列出自动化帐户中的所有用户及其角色。

Get-AzRoleAssignment -Scope '/subscriptions/<SubscriptionID>/resourcegroups/<Resource Group Name>/Providers/Microsoft.Automation/automationAccounts/<Automation account name>'

下面是示例输出：

RoleAssignmentId   : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroup/providers/Microsoft.Automation/automationAccounts/myAutomationAccount/provid
                     ers/Microsoft.Authorization/roleAssignments/00000000-0000-0000-0000-000000000000
Scope              : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroup/providers/Microsoft.Automation/automationAccounts/myAutomationAccount
DisplayName        : admin@contoso.com
SignInName         : admin@contoso.com
RoleDefinitionName : Automation Operator
RoleDefinitionId   : d3881f73-407a-4167-8283-e981cbba0404
ObjectId           : aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
ObjectType         : User

使用 New-AzRoleAssignment 为特定范围内的用户、组和应用程序分配访问权限。

示例： 使用以下命令为“自动化帐户”范围中的用户分配“自动化操作员”角色。

New-AzRoleAssignment -SignInName <sign-in Id of a user you wish to grant access> -RoleDefinitionName 'Automation operator' -Scope '/subscriptions/<SubscriptionID>/resourcegroups/<Resource Group Name>/Providers/Microsoft.Automation/automationAccounts/<Automation account name>'

下面是示例输出：

RoleAssignmentId   : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/myResourceGroup/Providers/Microsoft.Automation/automationAccounts/myAutomationAccount/provid
                     ers/Microsoft.Authorization/roleAssignments/00000000-0000-0000-0000-000000000000
Scope              : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/myResourceGroup/Providers/Microsoft.Automation/automationAccounts/myAutomationAccount
DisplayName        : admin@contoso.com
SignInName         : admin@contoso.com
RoleDefinitionName : Automation Operator
RoleDefinitionId   : d3881f73-407a-4167-8283-e981cbba0404
ObjectId           : bbbbbbbb-1111-2222-3333-cccccccccccc
ObjectType         : User

使用 Remove-AzRoleAssignment 从特定范围中删除指定用户、组或应用程序的访问权限。

示例： 使用以下命令从自动化帐户范围的自动化操作员角色中删除用户。

Remove-AzRoleAssignment -SignInName <sign-in Id of a user you wish to remove> -RoleDefinitionName 'Automation Operator' -Scope '/subscriptions/<SubscriptionID>/resourcegroups/<Resource Group Name>/Providers/Microsoft.Automation/automationAccounts/<Automation account name>'

在前面的示例中，将 sign-in ID of a user you wish to remove、SubscriptionID、Resource Group Name 和 Automation account name 替换为帐户详细信息。 出现提示时选择“是”以在继续删除用户角色分配前确认。

自动化操作员角色的用户体验 - 自动化帐户

当在自动化帐户范围内被分配了“自动化操作员”角色的用户查看分配给他/她的自动化帐户时，该用户只能查看该自动化帐户中创建的运行簿、运行簿作业和计划列表。 此用户无法查看这些项的定义。 用户可以启动、停止、暂停、恢复或计划运行 Runbook 作业。 但是，该用户无权访问其他自动化资源，例如配置、混合 Runbook 辅助角色组或 DSC 节点。

为 runbook 配置 Azure RBAC

Azure 自动化支持你将 Azure 角色分配给特定的运行簿。 若要执行此操作，请运行以下脚本，将用户添加到特定运行手册中。 自动化帐户管理员或租户管理员可以运行此脚本。

$rgName = "<Resource Group Name>" # Resource Group name for the Automation account
$automationAccountName ="<Automation account name>" # Name of the Automation account
$rbName = "<Name of Runbook>" # Name of the runbook
$userId = "<User ObjectId>" # Azure Active Directory (AAD) user's ObjectId from the directory

# Gets the Automation account resource
$aa = Get-AzResource -ResourceGroupName $rgName -ResourceType "Microsoft.Automation/automationAccounts" -ResourceName $automationAccountName

# Get the Runbook resource
$rb = Get-AzResource -ResourceGroupName $rgName -ResourceType "Microsoft.Automation/automationAccounts/runbooks" -ResourceName "$rbName"

# The Automation Job Operator role only needs to be run once per user.
New-AzRoleAssignment -ObjectId $userId -RoleDefinitionName "Automation Job Operator" -Scope $aa.ResourceId

# Adds the user to the Automation Runbook Operator role to the Runbook scope
New-AzRoleAssignment -ObjectId $userId -RoleDefinitionName "Automation Runbook Operator" -Scope $rb.ResourceId

运行脚本后，让用户登录到 Azure 门户并选择“所有资源”。 在列表中，用户可以看到其被添加为“自动化运行手册操作员”的运行手册。

自动化操作员的用户体验 - 运行手册

当在 Runbook 作用域中被分配了自动化操作员角色的用户查看已分配的运行手册时，该用户只能启动该运行手册并查看该运行手册作业。

后续步骤

• 若要了解安全准则，请参阅 Azure 自动化中的安全最佳做法。
• 若要详细了解使用 PowerShell 的 Azure RBAC，请参阅使用 Azure PowerShell 添加或删除 Azure 角色分配。
• 有关运行手册类型的详细信息，请参阅 Azure 自动化运行手册类型。
• 若要启动 Runbook，请参阅在 Azure 自动化中启动 Runbook。