Contrôle d’accès en fonction du rôle dans Azure Digital Twins

Azure Digital Twins permet un contrôle d’accès précis sur des données, ressources et actions spécifiques de votre graphe spatial. En effet, il utilise une gestion granulaire des rôles et des autorisations appelée contrôle d’accès en fonction du rôle. RBAC se compose de rôles et d’attributions de rôles. Les rôles identifient le niveau d’autorisations. Les attributions de rôles associent un rôle à un utilisateur ou un appareil.

À l’aide de RBAC, l’autorisation peut être accordée à :

• Un utilisateur.
• Un appareil.
• Un principal du service.
• Une fonction définie par l’utilisateur.
• Tous les utilisateurs qui appartiennent à un domaine.
• Un locataire.

Le degré d’accès peut également être ajusté.

RBAC est unique, car les autorisations sont héritées vers le bas du graphe spatial.

À quoi me sert RBAC ?

Un développeur peut utiliser RBAC pour effectuer les opérations suivantes :

• Accorder à un utilisateur la possibilité de gérer les appareils pour un bâtiment entier ou uniquement pour une pièce ou un étage spécifique.
• Octroyer à un administrateur l’accès global à tous les nœuds d’un graphe spatial ou uniquement à une section du graphe.
• Accorder à un spécialiste du support un accès en lecture au graphe, à l’exception des clés d’accès.
• Accorder à chaque membre d’un domaine un accès en lecture à tous les objets du graphe.

Meilleures pratiques relatives à RBAC

Le contrôle d’accès en fonction du rôle est une stratégie de sécurité basée sur l’héritage permettant de gérer les accès, les autorisations et les rôles. Les rôles descendants héritent des autorisations des rôles parents. Les autorisations peuvent également être attribuées sans être héritées d’un rôle parent. Elle peuvent aussi être attribuées pour personnaliser un rôle, si besoin.

Par exemple, l’administrateur de l’espace peut avoir besoin d’un accès global pour exécuter toutes les opérations de cet espace. L’accès comprend tous les nœuds en dessous de l’espace ou dans l’espace. Le programme d’installation de l’appareil peut nécessiter uniquement les autorisations lire et mettre à jour pour les appareils et les capteurs.

Dans tous les cas, les rôles doivent être octroyés avec précision et sans aller au-delà de l’accès nécessaire pour remplir leurs tâches, selon le principe des privilèges minimum. Conformément à ce principe, l’identité est accordée uniquement :

• L’accès nécessaire pour effectuer son travail.
• Un rôle approprié et limité à son travail.

Deux autres pratiques importantes à suivre avec le contrôle d’accès en fonction du rôle :

Rôles

Définitions de rôles

Une définition de rôle est une collection d’autorisations et d’autres attributs qui constituent un rôle. Une définition de rôle répertorie les opérations autorisées, notamment CRÉER, LIRE, METTRE À JOUR, et SUPPRIMER que tous les objets avec ce rôle peuvent effectuer. Elle spécifie également les types d’objets auxquels les autorisations s’appliquent.

Le tableau suivant décrit les rôles qui sont disponibles dans Azure Digital Twins :

Types d’identificateur d’objet

Le objectIdType (ou le type d’identificateur d’objet) fait référence au type d’identité auquel un rôle est attribué. En dehors des types DeviceId et UserDefinedFunctionId, les types d’identificateur d’objet correspondent à des propriétés d’objets Azure Active Directory.

Le tableau suivant contient les types d’identificateurs d’objet pris en charge dans Azure Digital Twins :

Les articles de documentation de référence suivants décrivent :

• Comment rechercher l’ID d’objet d’un utilisateur.
• Comment obtenir l’ID d’objet d’un principal de service.
• Comment récupérer l’ID d’objet d’un locataire Azure AD.

Attributions de rôles

Une attribution de rôle Azure Digital Twins associe un objet, tels qu’un utilisateur ou un locataire Azure AD, à un rôle et un espace. Les autorisations sont accordées à tous les objets qui appartiennent à cet espace. L’espace inclut la totalité du graphe spatial en dessous.

Par exemple, un utilisateur reçoit une attribution de rôle avec le rôle DeviceInstaller pour le nœud racine d’un graphe spatial, qui représente un bâtiment. L’utilisateur peut alors lire et mettre à jour les appareils pour ce nœud et tous les autres espaces enfants dans le bâtiment.

Pour accorder des autorisations à un destinataire, créez une attribution de rôle. Pour révoquer les autorisations, supprimez l’attribution de rôle.

Étapes suivantes

• Pour en savoir plus sur la création et la gestion des attributions de rôle Azure Digital Twins, consultez Créer et gérer des attributions de rôle.

• En savoir plus sur les RBAC pour Azure .