使用网络观察程序功能所需的 Azure 基于角色的访问控制权限
通过 Azure 基于角色的访问控制 (Azure RBAC)，你可以将具体操作仅分配给需要完成其分配的职责的组织成员。 若要使用 Azure 网络观察程序功能，登录 Azure 所使用的帐户必须分配给所有者、参与者或网络参与者内置角色，或分配给自定义角色（已向自定义角色分配了以下各节中为每个网络观察程序功能列出的操作）。 若要了解如何检查分配给用户用于订阅的角色，请参阅使用 Azure 门户列出 Azure 角色分配。 如果看不到角色分配，请联系相应的订阅管理员。若要了解有关网络观察程序的功能的详细信息，请参阅什么是网络观察程序？
重要
网络参与者不涵盖以下操作：
网络观察程序
| 操作 | 说明 |
|---|---|
| Microsoft.Network/networkWatchers/read | 获取网络观察程序 |
| Microsoft.Network/networkWatchers/write | 创建或更新网络观察程序 |
| Microsoft.Network/networkWatchers/delete | 删除网络观察程序 |
连接监视器
| 操作 | 说明 |
|---|---|
| Microsoft.Network/networkWatchers/connectionMonitors/start/action | 启动连接监视器 |
| Microsoft.Network/networkWatchers/connectionMonitors/stop/action | 停止连接监视器 |
| Microsoft.Network/networkWatchers/connectionMonitors/query/action | 查询连接监视器 |
| Microsoft.Network/networkWatchers/connectionMonitors/read | 获取连接监视器 |
| Microsoft.Network/networkWatchers/connectionMonitors/write | 创建连接监视器 |
| Microsoft.Network/networkWatchers/connectionMonitors/delete | 删除连接监视器 |
流日志
| 操作 | 说明 |
|---|---|
| Microsoft.Network/networkWatchers/configureFlowLog/action | 配置流日志 |
| Microsoft.Network/networkWatchers/queryFlowLogStatus/action | 流日志的查询状态 |
| Microsoft.Storage/storageAccounts/listServiceSas/Action, Microsoft.Storage/storageAccounts/listAccountSas/Action, Microsoft.Storage/storageAccounts/listKeys/Action |
提取共享访问签名 (SAS)，实现对存储帐户的安全访问并写入存储帐户 |
流量分析
由于流量分析是作为流日志资源的一部分启用的，因此，除了所需的所有流日志权限之外，还需要以下权限：
| 操作 | 说明 |
|---|---|
| Microsoft.Network/applicationGateways/read | 获取应用程序网关 |
| Microsoft.Network/connections/read | 获取 VirtualNetworkGatewayConnection |
| Microsoft.Network/loadBalancers/read | 读取负载均衡器定义 |
| Microsoft.Network/localNetworkGateways/read | 获取 LocalNetworkGateway |
| Microsoft.Network/networkInterfaces/read | 获取网络接口定义 |
| Microsoft.Network/networkSecurityGroups/read | 获取网络安全组定义 |
| Microsoft.Network/publicIPAddresses/read | 获取公共 IP 地址定义 |
| Microsoft.Network/routeTables/read | 获取路由表定义 |
| Microsoft.Network/virtualNetworkGateways/read | 获取 VirtualNetworkGateway |
| Microsoft.Network/virtualNetworks/read | 获取虚拟网络定义 |
| Microsoft.Network/expressRouteCircuits/read | 获取 ExpressRouteCircuit |
| Microsoft.OperationalInsights/workspaces/read | 获取现有工作区 |
| Microsoft.OperationalInsights/workspaces/sharedkeys/action | 检索工作区的共享密钥 |
| Microsoft.Insights/dataCollectionRules/read 1 | 读取数据收集规则 |
| Microsoft.Insights/dataCollectionRules/write 1 | 创建或更新数据收集规则 |
| Microsoft.Insights/dataCollectionRules/delete 1 | 删除数据收集规则 |
| Microsoft.Insights/dataCollectionEndpoints/read 1 | 读取数据收集终结点 |
| Microsoft.Insights/dataCollectionEndpoints/write 1 | 创建或更新数据收集终结点 |
| Microsoft.Insights/dataCollectionEndpoints/delete 1 | 删除数据收集终结点 |
1 仅当使用流量分析来分析 VNet 流日志（预览版）时才是必需的。 有关详细信息，请参阅 Azure Monitor 中的数据收集规则，以及 Azure Monitor 中的数据收集终结点。
注意
数据收集规则和数据收集终结点资源由流量分析创建和管理。 如果对这些资源执行任何操作，流量分析可能无法按预期运行。
排查连接问题
| 操作 | 说明 |
|---|---|
| Microsoft.Network/networkWatchers/connectivityCheck/action | 启动连接故障排除测试 |
| Microsoft.Network/networkWatchers/queryTroubleshootResult/action | 连接故障排除测试的查询结果 |
| Microsoft.Network/networkWatchers/troubleshoot/action | 运行连接故障排除测试 |
数据包捕获
| 操作 | 说明 |
|---|---|
| Microsoft.Network/networkWatchers/packetCaptures/queryStatus/action | 查询数据包捕获的状态。 |
| Microsoft.Network/networkWatchers/packetCaptures/stop/action | 停止数据包捕获。 |
| Microsoft.Network/networkWatchers/packetCaptures/read | 获取数据包捕获。 |
| Microsoft.Network/networkWatchers/packetCaptures/write | 创建数据包捕获。 |
| Microsoft.Network/networkWatchers/packetCaptures/delete | 删除数据包捕获。 |
| Microsoft.Network/networkWatchers/packetCaptures/queryStatus/read | 查看数据包捕获的状态。 |
IP 流验证
| 操作 | 说明 |
|---|---|
| Microsoft.Network/networkWatchers/ipFlowVerify/action | 验证 IP 流 |
下一跃点
| 操作 | 说明 |
|---|---|
| Microsoft.Network/networkWatchers/nextHop/action | 从 VM 获取下一跃点 |
网络安全组视图
| 操作 | 说明 |
|---|---|
| Microsoft.Network/networkWatchers/securityGroupView/action | 查看安全组 |
拓扑
| 操作 | 说明 |
|---|---|
| Microsoft.Network/networkWatchers/topology/action | 获取拓扑 |
| Microsoft.Network/networkWatchers/topology/read | 同上 |
可访问性报表
| 操作 | 说明 |
|---|---|
| Microsoft.Network/networkWatchers/azureReachabilityReport/action | 获取 Azure 可访问性报表 |
其他操作
网络观察程序功能还需要以下操作：
| 操作 | 说明 |
|---|---|
| Microsoft.Authorization/*/Read | 提取 Azure 角色分配和策略定义 |
| Microsoft.Resources/subscriptions/resourceGroups/Read | 枚举订阅中的所有资源组 |
| Microsoft.Storage/storageAccounts/Read | 获取指定存储帐户的属性 |
| Microsoft.Storage/storageAccounts/listServiceSas/Action, Microsoft.Storage/storageAccounts/listAccountSas/Action, Microsoft.Storage/storageAccounts/listKeys/Action |
提取共享访问签名 (SAS)，实现对存储帐户的安全访问并写入存储帐户 |
| Microsoft.Compute/virtualMachines/Read, Microsoft.Compute/virtualMachines/Write |
登录到 VM、执行数据包捕获，并将其上传到存储帐户 |
| Microsoft.Compute/virtualMachines/extensions/Read， Microsoft.Compute/virtualMachines/extensions/Write |
检查网络观察程序扩展是否存在，并在必要时安装 |
| Microsoft.Compute/virtualMachineScaleSets/Read, Microsoft.Compute/virtualMachineScaleSets/Write |
访问虚拟机规模集、执行数据包捕获并将其上传到存储帐户 |
| Microsoft.Compute/virtualMachineScaleSets/extensions/Read, Microsoft.Compute/virtualMachineScaleSets/extensions/Write |
检查网络观察程序扩展是否存在，并在必要时安装 |
| Microsoft.Insights/alertRules/* | 设置指标警报 |
| Microsoft.Support/* | 从网络观察程序创建和更新支持票证 |