使用 Azure PowerShell 分配 Azure 角色

發行項
2025/05/18

Azure 基于角色的访问控制 (Azure RBAC) 是用于管理 Azure 资源访问权限的授权系统。若要授予访问权限，请将角色分配给特定范围内的用户、组、服务主体或托管标识。本文介绍如何使用 Azure PowerShell 分配角色。

注意

建议使用 Azure Az PowerShell 模块与 Azure 交互。若要开始，请参阅安装 Azure PowerShell。若要了解如何迁移到 Az PowerShell 模块，请参阅将 Azure PowerShell 从 AzureRM 迁移到 Az。

先决条件

若要分配角色，必须具有：

Microsoft.Authorization/roleAssignments/write 权限，例如基于角色的访问控制管理员
Azure PowerShell
用于运行 PowerShell 命令的帐户必须具有 Microsoft Graph Directory.Read.All 权限。

分配 Azure 角色的步骤

分配角色包括三个元素：安全主体、角色定义和范围。

步骤 1：确定哪一用户需要访问权限

可以将角色分配到用户、组、服务主体或托管标识。若要分配角色，可能需要指定对象的唯一 ID。 ID 的格式为：11111111-1111-1111-1111-111111111111。可以使用 Azure 门户或 Azure PowerShell 获取 ID。

用户

对于 Microsoft Entra 用户，获取用户主体名称，例如 patlong@contoso.com 或用户对象 ID。若要获取对象 ID，可以使用 Get-AzADUser。

Get-AzADUser -StartsWith <userName>
(Get-AzADUser -DisplayName <userName>).id

组

对于 Microsoft Entra 组，需要组对象 ID。若要获取对象 ID，可以使用 Get-AzADGroup。

Get-AzADGroup -SearchString <groupName>
(Get-AzADGroup -DisplayName <groupName>).id

服务主体

对于 Microsoft Entra 服务主体（应用程序使用的标识），需要服务主体对象 ID。若要获取对象 ID，可以使用 Get-AzADServicePrincipal。对于服务主体，使用对象 ID，而不是应用程序 ID。

Get-AzADServicePrincipal -SearchString <principalName>
(Get-AzADServicePrincipal -DisplayName <principalName>).id

托管标识

对于系统分配的或用户分配的托管标识，需要对象 ID。若要获取对象 ID，可以使用 Get-AzADServicePrincipal。

Get-AzADServicePrincipal -SearchString <principalName>
(Get-AzADServicePrincipal -DisplayName <principalName>).id

步骤 3：选择合适的角色

权限将组合成角色。可以从多个 Azure 内置角色列表中选择，也可以使用自己的自定义角色。最佳做法是授予的访问权限具有所需的最低特权，因此可以避免分配更广泛的角色。

若要列出角色并获取唯一的角色 ID，可以使用 Get-AzRoleDefinition。

Get-AzRoleDefinition | Format-Table -Property Name, IsCustom, Id

下面介绍如何列出特定角色的详细信息。

Get-AzRoleDefinition -Name <roleName>

有关详细信息，请参阅列出 Azure 角色定义。

步骤 3：识别所需的范围

Azure 提供四个级别的范围：资源、资源组、订阅和管理组。最佳做法是授予的访问权限具有所需的最低特权的，因此可以避免在更广泛的范围内分配角色。有关范围的详细信息，请参阅了解范围。

资源范围

对于资源范围，你需要资源的资源 ID。可以通过在 Azure 门户中查看资源的属性来查找资源 ID。资源 ID 具有以下格式。

/subscriptions/<subscriptionId>/resourcegroups/<resourceGroupName>/providers/<providerName>/<resourceType>/<resourceSubType>/<resourceName>

资源组范围

对于资源组范围，你需要资源组的名称。可以在 Azure 门户中的 “资源组 ”页上找到名称，也可以使用 Get-AzResourceGroup。

Get-AzResourceGroup

订阅范围

对于订阅范围，你需要订阅 ID。可以在 Azure 门户中的 “订阅 ”页上找到 ID，也可以使用 Get-AzSubscription。

Get-AzSubscription

管理组范围

对于管理组范围，你需要管理组名称。可以在 Azure 门户中的 “管理组 ”页上找到名称，也可以使用 Get-AzManagementGroup。

Get-AzManagementGroup

步骤 4：分配角色

若要分配角色，请使用 New-AzRoleAssignment 命令。根据范围，该命令通常具有以下格式之一。

资源范围

New-AzRoleAssignment -ObjectId <objectId> `
-RoleDefinitionName <roleName> `
-Scope /subscriptions/<subscriptionId>/resourcegroups/<resourceGroupName>/providers/<providerName>/<resourceType>/<resourceSubType>/<resourceName>

New-AzRoleAssignment -ObjectId <objectId> `
-RoleDefinitionId <roleId> `
-ResourceName <resourceName> `
-ResourceType <resourceType> `
-ResourceGroupName <resourceGroupName>

资源组范围

New-AzRoleAssignment -SignInName <emailOrUserprincipalname> `
-RoleDefinitionName <roleName> `
-ResourceGroupName <resourceGroupName>

New-AzRoleAssignment -ObjectId <objectId> `
-RoleDefinitionName <roleName> `
-ResourceGroupName <resourceGroupName>

订阅范围

New-AzRoleAssignment -SignInName <emailOrUserprincipalname> `
-RoleDefinitionName <roleName> `
-Scope /subscriptions/<subscriptionId>

New-AzRoleAssignment -ObjectId <objectId> `
-RoleDefinitionName <roleName> `
-Scope /subscriptions/<subscriptionId>

管理组范围

New-AzRoleAssignment -SignInName <emailOrUserprincipalname> `
-RoleDefinitionName <roleName> `
-Scope /providers/Microsoft.Management/managementGroups/<groupName>

New-AzRoleAssignment -ObjectId <objectId> `
-RoleDefinitionName <roleName> `
-Scope /providers/Microsoft.Management/managementGroups/<groupName>

分配角色示例

为存储帐户资源范围中的所有 Blob 容器分配角色

将存储 Blob 数据参与者角色分配给对象 ID 为55555555-5555-5555-5555-555555555555、应用程序 ID 为66666666-6666-6666-6666-666666666666的服务主体，并在名为storage12345的存储帐户的资源范围内进行。

PS C:\> New-AzRoleAssignment -ApplicationId 66666666-6666-6666-6666-666666666666 `
-RoleDefinitionName "Storage Blob Data Contributor" `
-Scope "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/Example-Storage-rg/providers/Microsoft.Storage/storageAccounts/storage12345"

RoleAssignmentId   : /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/Example-Storage-rg/providers/Microsoft.Storage/storageAccounts/storage12345/providers/Microsoft.Authorization/roleAssignments/cccccccc-cccc-cccc-cccc-cccccccccccc
Scope              : /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/Example-Storage-rg/providers/Microsoft.Storage/storageAccounts/storage12345
DisplayName        : example-identity
SignInName         :
RoleDefinitionName : Storage Blob Data Contributor
RoleDefinitionId   : ba92f5b4-2d11-453d-a403-e96b0029c9fe
ObjectId           : 55555555-5555-5555-5555-555555555555
ObjectType         : ServicePrincipal
CanDelegate        : False

为特定 blob 容器资源范围分配角色

将存储 Blob 数据参与者角色分配给对象 ID 为 55555555-5555-5555-5555-555555555555 和应用程序 ID 为 66666666-6666-6666-6666-666666666666 的服务主体，在名为 blob-container-01 的 Blob 容器的资源范围内。

PS C:\> New-AzRoleAssignment -ApplicationId 66666666-6666-6666-6666-666666666666 `
-RoleDefinitionName "Storage Blob Data Contributor" `
-Scope "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/Example-Storage-rg/providers/Microsoft.Storage/storageAccounts/storage12345/blobServices/default/containers/blob-container-01"

RoleAssignmentId   : /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/Example-Storage-rg/providers/Microsoft.Storage/storageAccounts/storage12345/blobServices/default/containers/blob-container-01/providers/Microsoft.Authorization/roleAssignm
                     ents/dddddddd-dddd-dddd-dddd-dddddddddddd
Scope              : /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/Example-Storage-rg/providers/Microsoft.Storage/storageAccounts/storage12345/blobServices/default/containers/blob-container-01
DisplayName        : example-identity
SignInName         :
RoleDefinitionName : Storage Blob Data Contributor
RoleDefinitionId   : ba92f5b4-2d11-453d-a403-e96b0029c9fe
ObjectId           : 55555555-5555-5555-5555-555555555555
ObjectType         : ServicePrincipal
CanDelegate        : False

为特定虚拟网络资源范围内的某个组分配角色

在名为 pharma-sales-project-network 的虚拟网络的资源范围内，将虚拟机参与者角色分配给 ID 为 aaaaaaaa-aaaa-aaaa-aaaaaaaaaa 的制药销售管理员组。

PS C:\> New-AzRoleAssignment -ObjectId aaaaaaaa-aaaa-aaaa-aaaa-aaaaaaaaaaaa `
-RoleDefinitionName "Virtual Machine Contributor" `
-ResourceName pharma-sales-project-network `
-ResourceType Microsoft.Network/virtualNetworks `
-ResourceGroupName MyVirtualNetworkResourceGroup

RoleAssignmentId   : /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/MyVirtualNetworkResourceGroup
                     /providers/Microsoft.Network/virtualNetworks/pharma-sales-project-network/providers/Microsoft.Authorizat
                     ion/roleAssignments/bbbbbbbb-bbbb-bbbb-bbbb-bbbbbbbbbbbb
Scope              : /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/MyVirtualNetworkResourceGroup
                     /providers/Microsoft.Network/virtualNetworks/pharma-sales-project-network
DisplayName        : Pharma Sales Admins
SignInName         :
RoleDefinitionName : Virtual Machine Contributor
RoleDefinitionId   : 9980e02c-c2be-4d73-94e8-173b1dc7cf3c
ObjectId           : aaaaaaaa-aaaa-aaaa-aaaa-aaaaaaaaaaaa
ObjectType         : Group
CanDelegate        : False

为资源组范围内的用户分配角色

将虚拟机参与者角色分配给patlong@contoso.com制药销售资源组范围内的用户。

PS C:\> New-AzRoleAssignment -SignInName patlong@contoso.com `
-RoleDefinitionName "Virtual Machine Contributor" `
-ResourceGroupName pharma-sales

RoleAssignmentId   : /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/pharma-sales/pr
                     oviders/Microsoft.Authorization/roleAssignments/55555555-5555-5555-5555-555555555555
Scope              : /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/pharma-sales
DisplayName        : Pat Long
SignInName         : patlong@contoso.com
RoleDefinitionName : Virtual Machine Contributor
RoleDefinitionId   : 9980e02c-c2be-4d73-94e8-173b1dc7cf3c
ObjectId           : 44444444-4444-4444-4444-444444444444
ObjectType         : User
CanDelegate        : False

或者，可以使用参数指定完全限定的资源组 -Scope ：

PS C:\> New-AzRoleAssignment -SignInName patlong@contoso.com `
-RoleDefinitionName "Virtual Machine Contributor" `
-Scope "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/pharma-sales"

RoleAssignmentId   : /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/pharma-sales/providers/Microsoft.Authorization/roleAssignments/55555555-5555-5555-5555-555555555555
Scope              : /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/pharma-sales
DisplayName        : Pat Long
SignInName         : patlong@contoso.com
RoleDefinitionName : Virtual Machine Contributor
RoleDefinitionId   : 9980e02c-c2be-4d73-94e8-173b1dc7cf3c
ObjectId           : 44444444-4444-4444-4444-444444444444
ObjectType         : User
CanDelegate        : False

在资源组范围内使用唯一角色 ID 为用户分配角色

角色名称可能会更改几次，例如：

你使用的是自己的自定义角色，你决定更改角色名称。
你使用的是预览角色，其名称中带有“（预览）”。释放角色后，将重命名该角色。

即使重命名了角色，角色 ID 也不会更改。如果使用脚本或自动化来创建角色分配，最佳做法是使用唯一的角色 ID 而非角色名称。这样一来，即使角色重命名，脚本仍可以使用。

以下示例将虚拟机参与者角色分配给patlong@contoso.com制药销售资源组范围内的用户。

PS C:\> New-AzRoleAssignment -ObjectId 44444444-4444-4444-4444-444444444444 `
-RoleDefinitionId 9980e02c-c2be-4d73-94e8-173b1dc7cf3c `
-Scope "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/pharma-sales"

RoleAssignmentId   : /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/pharma-sales/providers/Microsoft.Authorization/roleAssignments/55555555-5555-5555-5555-555555555555
Scope              : /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/pharma-sales
DisplayName        : Pat Long
SignInName         : patlong@contoso.com
RoleDefinitionName : Virtual Machine Contributor
RoleDefinitionId   : 9980e02c-c2be-4d73-94e8-173b1dc7cf3c
ObjectId           : 44444444-4444-4444-4444-444444444444
ObjectType         : User
CanDelegate        : False

在资源组范围内为应用程序分配角色

将虚拟机参与者角色分配给服务主体对象 ID 为 77777777-7777-7777-7777-777777777777 的应用程序，该应用程序位于制药销售资源组范围内。

PS C:\> New-AzRoleAssignment -ObjectId 77777777-7777-7777-7777-777777777777 `
-RoleDefinitionName "Virtual Machine Contributor" `
-ResourceGroupName pharma-sales

RoleAssignmentId   : /subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleAssignments/66666666-6666-6666-6666-666666666666
Scope              : /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/pharma-sales
DisplayName        : MyApp1
SignInName         :
RoleDefinitionName : Virtual Machine Contributor
RoleDefinitionId   : 9980e02c-c2be-4d73-94e8-173b1dc7cf3c
ObjectId           : 77777777-7777-7777-7777-777777777777
ObjectType         : ServicePrincipal
CanDelegate        : False

在订阅范围内为用户分配角色

将读取者角色分配给 annm@example.com 订阅范围内的用户。

PS C:\> New-AzRoleAssignment -SignInName annm@example.com `
-RoleDefinitionName "Reader" `
-Scope "/subscriptions/00000000-0000-0000-0000-000000000000"

RoleAssignmentId   : /subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleAssignments/66666666-6666-6666-6666-666666666666
Scope              : /subscriptions/00000000-0000-0000-0000-000000000000
DisplayName        : Ann M
SignInName         : annm@example.com
RoleDefinitionName : Reader
RoleDefinitionId   : acdd72a7-3385-48ef-bd42-f606fba81ae7
ObjectId           : 77777777-7777-7777-7777-777777777777
ObjectType         : ServicePrincipal
CanDelegate        : False

在管理组范围内为用户分配角色

将计费读取者角色分配给 alain@example.com 管理组范围内的用户。

PS C:\> New-AzRoleAssignment -SignInName alain@example.com `
-RoleDefinitionName "Billing Reader" `
-Scope "/providers/Microsoft.Management/managementGroups/marketing-group"

RoleAssignmentId   : /providers/Microsoft.Management/managementGroups/marketing-group/providers/Microsoft.Authorization/roleAssignments/22222222-2222-2222-2222-222222222222
Scope              : /providers/Microsoft.Management/managementGroups/marketing-group
DisplayName        : Alain Charon
SignInName         : alain@example.com
RoleDefinitionName : Billing Reader
RoleDefinitionId   : fa23ad8b-c56e-40d8-ac0c-ce449e1d2c64
ObjectId           : 44444444-4444-4444-4444-444444444444
ObjectType         : User
CanDelegate        : False

共用方式為

先决条件

分配 Azure 角色的步骤

步骤 1：确定哪一用户需要访问权限

步骤 3：选择合适的角色

步骤 3：识别所需的范围

步骤 4：分配角色

分配角色示例

为存储帐户资源范围中的所有 Blob 容器分配角色

为特定 blob 容器资源范围分配角色

为特定虚拟网络资源范围内的某个组分配角色

为资源组范围内的用户分配角色

在资源组范围内使用唯一角色 ID 为用户分配角色

在资源组范围内为应用程序分配角色

在订阅范围内为用户分配角色

在管理组范围内为用户分配角色

后续步骤

共用方式為

使用 Azure PowerShell 分配 Azure 角色

先决条件

分配 Azure 角色的步骤

步骤 1：确定哪一用户需要访问权限

步骤 3：选择合适的角色

步骤 3：识别所需的范围

步骤 4：分配角色

分配角色示例

为存储帐户资源范围中的所有 Blob 容器分配角色

为特定 blob 容器资源范围分配角色

为特定虚拟网络资源范围内的某个组分配角色

为资源组范围内的用户分配角色

在资源组范围内使用唯一角色 ID 为用户分配角色

在资源组范围内为应用程序分配角色

在订阅范围内为用户分配角色

在管理组范围内为用户分配角色

后续步骤

其他資源