使用网络观察程序功能所需的 Azure 基于角色的访问控制权限

项目
05/13/2024

通过 Azure 基于角色的访问控制 (Azure RBAC)，你可以将具体操作仅分配给需要完成其分配的职责的组织成员。若要使用 Azure 网络观察程序功能，登录 Azure 所使用的帐户必须分配给所有者、参与者或网络参与者内置角色，或分配给自定义角色（已向自定义角色分配了以下各节中为每个网络观察程序功能列出的操作）。若要了解如何检查分配给用户用于订阅的角色，请参阅使用 Azure 门户列出 Azure 角色分配。如果看不到角色分配，请联系相应的订阅管理员。若要了解有关网络观察程序的功能的详细信息，请参阅什么是网络观察程序？

重要

网络参与者不涵盖以下操作：

其他操作或流日志部分中列出的 Microsoft.Storage/* 操作。
其他操作部分中列出的 Microsoft.Compute/* 操作。
流量分析部分中列出的 microsoft.OperationalInsights/workspaces/*、Microsoft.Insights/dataCollectionRules/* 或 Microsoft.Insights/dataCollectionEndpoints/* 操作。

网络观察程序

操作	说明
Microsoft.Network/networkWatchers/read	获取网络观察程序
Microsoft.Network/networkWatchers/write	创建或更新网络观察程序
Microsoft.Network/networkWatchers/delete	删除网络观察程序

连接监视器

操作	说明
Microsoft.Network/networkWatchers/connectionMonitors/start/action	启动连接监视器
Microsoft.Network/networkWatchers/connectionMonitors/stop/action	停止连接监视器
Microsoft.Network/networkWatchers/connectionMonitors/query/action	查询连接监视器
Microsoft.Network/networkWatchers/connectionMonitors/read	获取连接监视器
Microsoft.Network/networkWatchers/connectionMonitors/write	创建连接监视器
Microsoft.Network/networkWatchers/connectionMonitors/delete	删除连接监视器

流日志

操作	说明
Microsoft.Network/networkWatchers/configureFlowLog/action	配置流日志
Microsoft.Network/networkWatchers/queryFlowLogStatus/action	流日志的查询状态
Microsoft.Storage/storageAccounts/listServiceSas/Action, Microsoft.Storage/storageAccounts/listAccountSas/Action, Microsoft.Storage/storageAccounts/listKeys/Action	提取共享访问签名 (SAS)，实现对存储帐户的安全访问并写入存储帐户

流量分析

由于流量分析是作为流日志资源的一部分启用的，因此，除了所需的所有流日志权限之外，还需要以下权限：

操作	说明
Microsoft.Network/applicationGateways/read	获取应用程序网关
Microsoft.Network/connections/read	获取 VirtualNetworkGatewayConnection
Microsoft.Network/loadBalancers/read	读取负载均衡器定义
Microsoft.Network/localNetworkGateways/read	获取 LocalNetworkGateway
Microsoft.Network/networkInterfaces/read	获取网络接口定义
Microsoft.Network/networkSecurityGroups/read	获取网络安全组定义
Microsoft.Network/publicIPAddresses/read	获取公共 IP 地址定义
Microsoft.Network/routeTables/read	获取路由表定义
Microsoft.Network/virtualNetworkGateways/read	获取 VirtualNetworkGateway
Microsoft.Network/virtualNetworks/read	获取虚拟网络定义
Microsoft.Network/expressRouteCircuits/read	获取 ExpressRouteCircuit
Microsoft.OperationalInsights/workspaces/read	获取现有工作区
Microsoft.OperationalInsights/workspaces/sharedkeys/action	检索工作区的共享密钥
Microsoft.Insights/dataCollectionRules/read ¹	读取数据收集规则
Microsoft.Insights/dataCollectionRules/write ¹	创建或更新数据收集规则
Microsoft.Insights/dataCollectionRules/delete ¹	删除数据收集规则
Microsoft.Insights/dataCollectionEndpoints/read ¹	读取数据收集终结点
Microsoft.Insights/dataCollectionEndpoints/write ¹	创建或更新数据收集终结点
Microsoft.Insights/dataCollectionEndpoints/delete ¹	删除数据收集终结点

¹ 仅当使用流量分析来分析虚拟网络流日志时是必需的。有关详细信息，请参阅 Azure Monitor 中的数据收集规则，以及 Azure Monitor 中的数据收集终结点。

注意

数据收集规则和数据收集终结点资源由流量分析创建和管理。如果对这些资源执行任何操作，流量分析可能无法按预期运行。

排查连接问题

操作	说明
Microsoft.Network/networkWatchers/connectivityCheck/action	启动连接故障排除测试
Microsoft.Network/networkWatchers/queryTroubleshootResult/action	连接故障排除测试的查询结果
Microsoft.Network/networkWatchers/troubleshoot/action	运行连接故障排除测试

数据包捕获

操作	说明
Microsoft.Network/networkWatchers/packetCaptures/queryStatus/action	查询数据包捕获的状态
Microsoft.Network/networkWatchers/packetCaptures/stop/action	停止数据包捕获
Microsoft.Network/networkWatchers/packetCaptures/read	获取数据包捕获
Microsoft.Network/networkWatchers/packetCaptures/write	创建数据包捕获
Microsoft.Network/networkWatchers/packetCaptures/delete	删除数据包捕获
Microsoft.Network/networkWatchers/packetCaptures/queryStatus/read	查看数据包捕获的状态

IP 流验证

操作	说明
Microsoft.Network/networkWatchers/ipFlowVerify/action	验证 IP 流

下一跃点

操作	说明
Microsoft.Network/networkWatchers/nextHop/action, Microsoft.Network/networkWatchers/nextHop/read	对于指定的目标和目标 IP 地址，返回下一跃点类型和下一跃点 IP 地址
Microsoft.Compute/virtualMachines/read	获取虚拟机的属性
Microsoft.Network/networkInterfaces/read	获取网络接口定义

网络安全组视图

操作	说明
Microsoft.Network/networkWatchers/securityGroupView/action	查看安全组

拓扑

操作	说明
Microsoft.Network/networkWatchers/topology/action	获取拓扑
Microsoft.Network/networkWatchers/topology/read	同上

可访问性报表

操作	说明
Microsoft.Network/networkWatchers/azureReachabilityReport/action	获取 Azure 可访问性报表

其他操作

网络观察程序功能还需要以下操作：

操作	说明
Microsoft.Authorization/*/Read	提取 Azure 角色分配和策略定义
Microsoft.Resources/subscriptions/resourceGroups/Read	枚举订阅中的所有资源组
Microsoft.Storage/storageAccounts/Read	获取指定存储帐户的属性
Microsoft.Storage/storageAccounts/listServiceSas/Action, Microsoft.Storage/storageAccounts/listAccountSas/Action, Microsoft.Storage/storageAccounts/listKeys/Action	提取共享访问签名 (SAS)，实现对存储帐户的安全访问并写入存储帐户
Microsoft.Compute/virtualMachines/Read, Microsoft.Compute/virtualMachines/Write	登录到 VM、执行数据包捕获，并将其上传到存储帐户
Microsoft.Compute/virtualMachines/extensions/Read， Microsoft.Compute/virtualMachines/extensions/Write	检查网络观察程序扩展是否存在，并在必要时安装
Microsoft.Compute/virtualMachineScaleSets/Read, Microsoft.Compute/virtualMachineScaleSets/Write	访问虚拟机规模集、执行数据包捕获并将其上传到存储帐户
Microsoft.Compute/virtualMachineScaleSets/extensions/Read, Microsoft.Compute/virtualMachineScaleSets/extensions/Write	检查网络观察程序扩展是否存在，并在必要时安装
Microsoft.Insights/alertRules/*	设置指标警报
Microsoft.Support/*	从网络观察程序创建和更新支持票证

通过