使用 Azure 门户添加或编辑 Azure 角色分配条件(预览版)

重要

Azure ABAC 和 Azure 角色分配条件目前为预览版。 此预览版在提供时没有附带服务级别协议,不建议将其用于生产工作负荷。 某些功能可能不受支持或者受限。 有关详细信息,请参阅适用于 Azure 预览版的补充使用条款

Azure 角色分配条件是一项额外检查,你可选择将其添加到角色分配中,来提供更精细的访问控制。 例如,为了读取对象,你可添加要求对象具有特定标记的条件。 本文介绍如何使用 Azure 门户添加、编辑、查看或删除角色分配条件。

先决条件

有关添加或编辑角色分配条件的先决条件的信息,请参阅有关条件的先决条件

步骤 1:确定所需的条件

目前,可将条件添加到具有存储 blob 数据操作的内置或自定义角色分配。 其中包括以下内置角色:

步骤 2:选择如何添加条件

可以通过两种方式添加条件。 可以在添加新角色分配时添加条件,也可以向现有角色分配添加条件。

新建角色分配

  1. 执行以下步骤使用 Azure 门户分配 Azure 角色

  2. 在“条件”选项卡上,单击“添加条件” 。

    如果未看到“条件”选项卡,请确保选择的角色支持条件。

    预览版体验的“添加角色分配”页面的屏幕截图,其中显示了“添加条件”选项卡。

    随即显示“添加角色分配条件”页面。

现有角色分配

  1. 在 Azure 门户中,在要添加条件的范围内打开访问控制 (IAM)。 例如,可以打开订阅、资源组或资源。

    目前,无法使用 Azure 门户在管理组范围内添加、查看、编辑或删除条件。

  2. 单击“角色分配”选项卡以查看在此范围内的所有角色分配。

  3. 查找包含要向其添加条件的存储数据操作的角色分配。

  4. 在“条件”列中,单击“添加” 。

    如果未看到“添加”链接,请确保你查看的是与角色分配相同的范围。

    带“条件”列的角色分配列表。

    随即显示“添加角色分配条件”页面。

步骤 3:查看基础知识

打开“添加角色分配条件”页面后,便可查看条件的基础知识。 “角色”指示条件将添加到的角色。

  1. 对于“编辑器类型”选项,保持选中默认视觉对象 。

    添加条件后,可以在“视觉对象”和“代码”之间进行切换。

  2. (可选)如果出现“说明”框,请输入说明。

    根据选择添加条件的方式,可能不会看到“说明”框。 说明可帮助你了解和记住条件。

    “添加角色分配条件”页面,其中显示了编辑器类型和说明。

步骤 4:添加操作

  1. 在“添加操作”部分,单击“添加操作” 。

    随即会显示“选择操作”窗格。 此窗格是基于角色分配(将作为条件的目标)进行了筛选的数据操作列表。 有关详细信息,请参阅 Azure 角色分配条件格式和语法

    为条件选择一个操作窗格,并选择一个操作。

  2. 选择要在条件为 true 时允许执行的操作。

    如果为单个条件选择多个操作,则能为条件选择的属性可能较少,因为这些属性必须在所选操作中可用。

  3. 单击“选择”。

    所选操作随即显示在操作列表中。

步骤 5:生成表达式

  1. 在“生成表达式”部分,单击“添加表达式” 。

    随即展开“表达式”部分。

  2. 在“属性源”列表中,选择可以找到属性的位置。

    • “资源”指示该属性位于资源上,例如容器名称。
    • “请求”指示该属性是操作请求的一部分,例如设置 blob 索引标记。
  3. 在“属性”列表中,为表达式的左侧选择一个属性。 有关详细信息,请参阅 Azure 角色分配条件格式和语法

    根据选择的属性,可能会添加框以指定其他属性详细信息。

  4. 在“运算符”列表中,选择一个运算符。

  5. 在“值”框中,为表达式右侧输入一个值。

    包含 Blob 索引标记的值的生成表达式部分。

步骤 6:查看和添加条件

  1. 向上滚动到“编辑器类型”,然后单击“代码” 。

    条件显示为代码。 可在此代码编辑器中对条件进行更改。 若要返回到可视化编辑器,请单击“可视化”。

    条件显示在代码编辑器中,包含选定的操作和添加的表达式。

  2. 单击“保存”以将条件添加到角色分配中。

查看、编辑或删除条件

  1. 在 Azure 门户中,为具有要查看、编辑或删除条件的角色分配打开访问控制 (IAM)。

  2. 单击“角色分配”选项卡并找到角色分配。

  3. 在“条件”列中,单击“查看/编辑” 。

    如果未看到“查看/编辑”链接,请确保你查看的是与角色分配相同的范围。

    角色分配列表,包含条件的“查看/编辑”链接。

    随即显示“添加角色分配条件”页面。

  4. 使用编辑器查看或编辑条件。

    单击“查看/编辑”链接后,在编辑器中显示的条件。

  5. 完成后,单击“保存”。 要删除整个条件,请单击“删除条件”。 删除条件不会删除角色分配。

后续步骤