Auflisten von Azure-Rollenzuweisungen über das Azure-Portal

Berechtigung Microsoft.Authorization/roleAssignments/read, z. B. mit der Rolle Leser

Eine schnelle Möglichkeit, die einem Benutzer oder einer Gruppe in einem Abonnement zugewiesenen Rollen anzuzeigen, ist die Verwendung des Bereichs Azure-Rollenzuweisungen.

1. Klicken Sie im Menü des Azure-Portals auf Alle Dienste.

2. Wählen Sie Microsoft Entra ID und dann Benutzer oder Gruppen aus.

3. Klicken Sie auf den Benutzer oder die Gruppe, für den bzw. die Sie Rollenzuweisungen auflisten möchten.

4. Klicken Sie auf Azure-Rollenzuweisungen.

   Es wird eine Liste der Rollen angezeigt, die dem ausgewählten Benutzer bzw. der ausgewählten Gruppe in verschiedenen Bereichen (etwa Verwaltungsgruppe, Abonnement, Ressourcengruppe oder Ressource) zugewiesen sind. Diese Liste enthält alle Rollenzuweisungen, für die Sie über Leseberechtigungen verfügen.

   

5. Um das Abonnement zu ändern, klicken Sie auf die Liste Abonnements.

Benutzer, denen die Rolle Besitzer für ein Abonnement zugewiesen wurde, können alles in dem Abonnement verwalten. Befolgen Sie diese Schritte, um die Besitzer eines Abonnements aufzulisten.

1. Klicken Sie im Azure-Portal auf Alle Dienste und anschließend auf Abonnements.

2. Klicken Sie auf das Abonnement, dessen Besitzer Sie auflisten möchten.

3. Klicken Sie auf Zugriffssteuerung (IAM) .

4. Klicken Sie auf die Registerkarte Rollenzuweisungen, um alle Rollenzuweisungen für dieses Abonnement anzuzeigen.

5. Blättern Sie zum Abschnitt Besitzer, um alle Benutzer anzuzeigen, denen die Rolle des Besitzers für dieses Abonnement zugewiesen wurde.

   

Auf der Registerkarte Rollenzuweisungen können Sie die Anzahl der Zuweisungen privilegierter Administratorrollen im aktuellen Bereich auflisten und anzeigen. Weitere Informationen finden Sie unter Privilegierte Administratorrollen.

1. Klicken Sie im Azure-Portal auf Alle Dienste, und wählen Sie anschließend den Bereich aus. Sie können beispielsweise Verwaltungsgruppen, Abonnements, Ressourcengruppen oder eine Ressource auswählen.

2. Klicken Sie auf die gewünschte Ressource.

3. Klicken Sie auf Zugriffssteuerung (IAM) .

4. Klicken Sie auf die Registerkarte Rollenzuweisungen und dann auf die Registerkarte Privilegiert, um die Zuweisungen privilegierter Administratorrollen in diesem Bereich auflisten zu können.

   

5. Informationen zur Anzahl der Zuweisungen privilegierter Administratorrollen in diesem Bereich finden Sie auf der Karte Privilegiert.

6. Um die Zuweisungen privilegierter Administratorrollen zu verwalten, zeigen Sie die Karte Privilegiert an, und klicken Sie auf Zuweisungen anzeigen.

   Auf der Seite Zuweisungen privilegierter Rollen verwalten können Sie eine Bedingung hinzufügen, um die Zuweisung privilegierter Rollen einzuschränken oder die Rollenzuweisung zu entfernen. Weitere Informationen finden Sie unter Delegieren der Azure-Rollenzuweisungsverwaltung an andere Personen mit Bedingungen.

   

Führen Sie folgende Schritte aus:

1. Klicken Sie im Azure-Portal auf Alle Dienste, und wählen Sie anschließend den Bereich aus. Sie können beispielsweise Verwaltungsgruppen, Abonnements, Ressourcengruppen oder eine Ressource auswählen.

2. Klicken Sie auf die gewünschte Ressource.

3. Klicken Sie auf Zugriffssteuerung (IAM) .

4. Klicken Sie auf die Registerkarte Rollenzuweisungen, um die Rollenzuweisungen für diesen Bereich anzuzeigen.

   Wenn Sie über eine der Lizenzen Microsoft Entra ID Free oder Microsoft Entra ID P1 verfügen, ähnelt die Registerkarte Rollenzuweisungen dem folgenden Screenshot.

   

   Wenn Sie über eine der Lizenzen Microsoft Entra ID P2 oder Microsoft Entra ID Governance verfügen, ähnelt die Registerkarte Rollenzuweisungen dem folgenden Screenshot der Bereiche „Verwaltungsgruppe“, „Abonnement“ und „Ressourcengruppe“. Diese Funktion wird in Phasen bereitgestellt und ist daher möglicherweise noch nicht in Ihrem Mandanten verfügbar oder sieht auf Ihrer Benutzeroberfläche anders aus.

   

   Es wird eine Spalte Status mit einem der folgenden Zustände angezeigt:

   State	Beschreibung
   Dauerhaft aktiv	Eine Rollenzuweisung, bei der ein Benutzer die Rolle jederzeit ohne vorherige Aktion verwenden kann.
   Zeitgebunden aktiv	Eine Rollenzuweisung, bei der ein Benutzer die Rolle nur innerhalb eines Zeitraums (Start- und Enddatum) ohne vorherige Aktion verwenden kann
   Dauerhaft berechtigt	Eine Rollenzuweisung, bei der ein Benutzer immer zum Aktivieren der Rolle berechtigt ist.
   Zeitgebunden berechtigt	Eine Rollenzuweisung, bei der ein Benutzer nur innerhalb eines Zeitraums (Start- und Enddatum) zum Aktivieren der Rolle berechtigt ist.

   Es ist möglich, ein Startdatum in der Zukunft festzulegen.

   Wenn Sie die Start- und Endzeit für Rollenzuweisungen auflisten möchten, wählen Sie Spalten bearbeiten und dann Startzeit und Endzeit aus.

   

   Beachten Sie, dass einige Rollen auf Diese Ressource begrenzt sind, während andere von einem anderen Bereich geerbt werden. Der Zugriff wird entweder speziell dieser Ressource zugewiesen oder von einer Zuweisung des übergeordneten Bereichs geerbt.

Um den Zugriff für einen Benutzer, eine Gruppe, einen Dienstprinzipal oder eine verwaltete Identität aufzulisten, listen Sie die Rollenzuweisungen auf. Führen Sie diese Schritte aus, um die Rollenzuweisungen für einen einzelnen Benutzer, eine Gruppe, einen Dienstprinzipal oder eine verwaltete Identität für einen bestimmten Bereich aufzulisten.

1. Klicken Sie im Azure-Portal auf Alle Dienste, und wählen Sie anschließend den Bereich aus. Sie können beispielsweise Verwaltungsgruppen, Abonnements, Ressourcengruppen oder eine Ressource auswählen.

2. Klicken Sie auf die gewünschte Ressource.

3. Klicken Sie auf Zugriffssteuerung (IAM) .

   

4. Klicken Sie auf der Registerkarte Zugriff überprüfen auf die Schaltfläche Zugriff überprüfen.

5. Klicken Sie im Bereich Zugriff überprüfen auf Benutzer, Gruppe oder Dienstprinzipal oder Verwaltete Identität.

6. Geben Sie in das Suchfeld eine Zeichenfolge ein, nach der das Verzeichnis durchsucht werden soll. Sie können nach Anzeigenamen, E-Mail-Adressen oder Objektbezeichnern suchen.

   

7. Klicken Sie auf den Sicherheitsprinzipal, um den Bereich Zuweisungen zu öffnen.

   Hier können Sie den in diesem Bereich zugewiesenen und geerbten Zugriff für den ausgewählten Sicherheitsprinzipal anzeigen. Zuweisungen in untergeordneten Bereichen sind nicht aufgeführt. Folgende Zuweisungen werden angezeigt:

   • Mit Azure RBAC hinzugefügte Rollenzuweisungen.
   • Mithilfe von Azure Blueprints oder verwalteten Azure-Apps hinzugefügte Zuweisungen werden abgelehnt.

   

Sie können Rollenzuweisungen für vom System zugewiesene und vom Benutzer zugewiesene verwaltete Identitäten in einem bestimmten Bereich mithilfe des zuvor beschriebenen Blatts für die Zugriffssteuerung (IAM) auflisten. In diesem Abschnitt wird beschrieben, wie Rollenzuweisungen nur für die verwaltete Identität aufgelistet werden.

Systemseitig zugewiesene verwaltete Identität

1. Öffnen Sie im Azure-Portal eine systemseitig zugewiesene verwaltete Identität.

2. Klicken Sie im linken Menü auf Identität.

   

3. Klicken Sie unter Berechtigungen auf Azure-Rollenzuweisungen.

   Es wird eine Liste der Rollen angezeigt, die der ausgewählten systemseitig zugewiesenen verwalteten Identität in verschiedenen Bereichen (etwa Verwaltungsgruppe, Abonnement, Ressourcengruppe oder Ressource) zugewiesen sind. Diese Liste enthält alle Rollenzuweisungen, für die Sie über Leseberechtigungen verfügen.

   

4. Klicken Sie auf die Liste Abonnement, um das Abonnement zu ändern.

   Benutzerseitig zugewiesene verwaltete Identität

   1. Öffnen Sie im Azure-Portal eine benutzerseitig zugewiesene verwaltete Identität.

   2. Klicken Sie auf Azure-Rollenzuweisungen.

      Es wird eine Liste der Rollen angezeigt, die der ausgewählten benutzerseitig zugewiesenen verwalteten Identität in verschiedenen Bereichen (etwa Verwaltungsgruppe, Abonnement, Ressourcengruppe oder Ressource) zugewiesen sind. Diese Liste enthält alle Rollenzuweisungen, für die Sie über Leseberechtigungen verfügen.

      

   3. Klicken Sie auf die Liste Abonnement, um das Abonnement zu ändern.

Jedes Abonnement kann über bis zu 4000 Rollenzuweisungen verfügen. Dieser Grenzwert schließt Rollenzuweisungen im Abonnement, in der Ressourcengruppe und im Ressourcenbereich ein. Berechtigte Rollenzuweisungen und für die Zukunft geplante Rollenzuweisungen zählen nicht zu diesem Grenzwert. Damit Sie diesen Grenzwert nachverfolgen können, enthält die Registerkarte Rollenzuweisungen ein Diagramm, in dem die Anzahl der Rollenzuweisungen für das aktuelle Abonnement aufgeführt ist.

Wenn Sie sich der maximalen Anzahl nähern und versuchen, weitere Rollenzuweisungen hinzuzufügen, wird im Bereich Rollenzuweisung hinzufügen eine Warnung angezeigt. Möglichkeiten, wie Sie die Anzahl der Rollenzuweisungen reduzieren können, finden Sie unter Behandeln von Azure RBAC-Grenzwerten.

Herunterladen von Rollenzuweisungen

Sie können Rollenzuweisungen in einem Bereich im CSV-oder JSON-Format herunterladen. Dies kann hilfreich sein, wenn Sie die Liste in einer Kalkulationstabelle überprüfen oder bei der Migration eines Abonnements eine Inventur durchführen müssen.

Beachten Sie beim Herunterladen von Rollenzuweisungen unbedingt die folgenden Kriterien:

• Wenn Sie nicht über die Berechtigungen zum Lesen des Verzeichnisses verfügen, z. B. die Rolle „Verzeichnisleseberechtigte“, sind die Spalten DisplayName, SignInName und ObjectType leer.
• Rollenzuweisungen, deren Sicherheitsprinzipal gelöscht wurde, sind nicht eingeschlossen.
• Klassischen Administratoren gewährter Zugriff ist nicht eingeschlossen.

Führen Sie die folgenden Schritte aus, um Rollenzuweisungen in einem Bereich herunterzuladen.

1. Klicken Sie im Azure-Portal auf Alle Dienste, und wählen Sie dann den Bereich aus, in dem Sie Rollenzuweisungen herunterladen möchten. Sie können beispielsweise Verwaltungsgruppen, Abonnements, Ressourcengruppen oder eine Ressource auswählen.

2. Klicken Sie auf die gewünschte Ressource.

3. Klicken Sie auf Zugriffssteuerung (IAM) .

4. Klicken Sie auf Rollenzuweisungen herunterladen, um den Bereich „Rollenzuweisungen herunterladen“ zu öffnen.

   

5. Verwenden Sie die Kontrollkästchen, um die Rollenzuweisungen auszuwählen, die Sie in die heruntergeladene Datei einschließen möchten.

   • Geerbt: Geerbte Rollenzuweisungen für den aktuellen Bereich einschließen.
   • Im aktuellen Bereich: Rollenzuweisungen für den aktuellen Bereich einschließen.
   • Untergeordnet: Rollenzuweisungen auf Ebenen unterhalb des aktuellen Bereichs einschließen. Dieses Kontrollkästchen ist für den Verwaltungsgruppenbereich deaktiviert.

6. Wählen Sie das Dateiformat, durch Trennzeichen getrennte Werte (CSV) oder JavaScript Object Notation (JSON).

7. Geben Sie den Dateinamen an.

8. Klicken Sie auf Starten, um den Download zu starten.

   Im folgenden finden Sie Beispiele für die Ausgabe in den einzelnen Dateiformaten.