Azure 虚拟桌面中的委托访问
重要
本教程的内容适用于包含 Azure 资源管理器 Azure 虚拟桌面对象的 Azure 虚拟桌面。
Azure 虚拟桌面有一个委托访问模型,可通过为特定用户分配角色来定义允许该用户拥有的访问量。 角色分配包含 3 个组成部分:安全主体、角色定义和范围。 Azure 虚拟桌面委托访问模型基于 Azure RBAC 模型。 若要详细了解特定的角色分配及其组成部分,请查看 Azure 基于角色的访问控制概述。
对于角色分配的各个元素,Azure 虚拟桌面委托访问支持以下值:
- 安全主体
- 用户
- 用户组
- 服务主体
- 角色定义
- 内置角色
- 自定义角色
- 作用域
- 主机池
- 应用程序组
- 工作区
用于角色分配的 PowerShell cmdlet
在开始之前,请确保按照设置 PowerShell 模块中的说明设置 Azure 虚拟桌面 PowerShell 模块(如果尚未设置)。
在将应用程序组发布给用户或用户组时,Azure 虚拟桌面会使用 Azure 基于角色的访问控制 (Azure RBAC)。 会向用户或用户组分配“桌面虚拟化用户”角色,而范围是应用程序组。 此角色向用户提供对应用程序组的特殊数据访问权限。
若要将 Microsoft Entra 用户添加到应用程序组,请运行以下 cmdlet:
New-AzRoleAssignment -SignInName <userupn> -RoleDefinitionName "Desktop Virtualization User" -ResourceName <appgroupname> -ResourceGroupName <resourcegroupname> -ResourceType 'Microsoft.DesktopVirtualization/applicationGroups'
若要将 Microsoft Entra 用户组添加到应用程序组,请运行以下 cmdlet:
New-AzRoleAssignment -ObjectId <usergroupobjectid> -RoleDefinitionName "Desktop Virtualization User" -ResourceName <appgroupname> -ResourceGroupName <resourcegroupname> -ResourceType 'Microsoft.DesktopVirtualization/applicationGroups'
后续步骤
有关每个角色可使用的 PowerShell cmdlet 的更完整的列表,请查看 PowerShell 参考。
有关 Azure RBAC 中支持的角色的完整列表,请查看 azure 内置角色。
有关如何设置 Azure 虚拟桌面环境的指南,请参阅 Azure 虚拟桌面环境。