Autorizzazioni di Controllo degli accessi in base al ruolo di Azure per Collegamento privato di Azure

La gestione degli accessi per le risorse cloud è una funzione fondamentale per qualsiasi organizzazione. Il controllo degli accessi in base al ruolo di Azure gestisce l'accesso e le operazioni delle risorse di Azure.

Per distribuire un endpoint privato o un servizio di collegamento privato a un utente deve avere assegnato un ruolo predefinito, ad esempio:

• Proprietario
• Collaboratore
• Collaboratore rete

È possibile fornire un accesso più granulare creando un ruolo personalizzato con le autorizzazioni descritte nelle sezioni seguenti.

Microsoft.Network e il provider di risorse specifico da distribuire, ad esempio Microsoft.Sql, devono essere registrati a livello di sottoscrizione:

Endpoint privato

Questa sezione elenca le autorizzazioni granulari necessarie per distribuire un endpoint privato, gestire i criteri della subnet dell'endpoint privato e distribuire le risorse dipendenti

Ecco il formato JSON delle autorizzazioni precedenti. Immettere roleName, description e assignableScopes:

{
 "properties": {
   "roleName": "Role Name",
   "description": "Description",
   "assignableScopes": [
     "/subscriptions/SubscriptionID/resourceGroups/ResourceGroupName"
   ],
   "permissions": [
     {
       "actions": [
         "Microsoft.Resources/deployments/*",
         "Microsoft.Resources/subscriptions/resourceGroups/read",
         "Microsoft.Network/virtualNetworks/read",
         "Microsoft.Network/virtualNetworks/subnets/read",
         "Microsoft.Network/virtualNetworks/subnets/write",
         "Microsoft.Network/virtualNetworks/subnets/join/action",
         "Microsoft.Network/privateEndpoints/read",
         "Microsoft.Network/privateEndpoints/write",
         "Microsoft.Network/locations/availablePrivateEndpointTypes/read"
       ],
       "notActions": [],
       "dataActions": [],
       "notDataActions": []
     }
   ]
 }
}

Servizio collegamento privato

Questa sezione elenca le autorizzazioni granulari necessarie per distribuire un servizio di collegamento privato, gestire i criteri della subnet del servizio di collegamento privato e distribuire le risorse dipendenti

{
  "properties": {
    "roleName": "Role Name",
    "description": "Description",
    "assignableScopes": [
      "/subscriptions/SubscriptionID/resourceGroups/ResourceGroupName"
    ],
    "permissions": [
      {
        "actions": [
          "Microsoft.Resources/deployments/*",
          "Microsoft.Resources/subscriptions/resourceGroups/read",
          "Microsoft.Network/virtualNetworks/read",
          "Microsoft.Network/virtualNetworks/subnets/read",
          "Microsoft.Network/virtualNetworks/subnets/write",
          "Microsoft.Network/virtualNetworks/subnets/join/action",
          "Microsoft.Network/privateLinkServices/read",
          "Microsoft.Network/privateLinkServices/write",
          "Microsoft.Network/privateLinkServices/privateEndpointConnections/read",
          "Microsoft.Network/privateLinkServices/privateEndpointConnections/write",
          "Microsoft.Network/networkSecurityGroups/join/action",
          "Microsoft.Network/loadBalancers/read",
          "Microsoft.Network/loadBalancers/write"
        ],
        "notActions": [],
        "dataActions": [],
        "notDataActions": []
      }
    ]
  }
}

Controllo degli accessi in base al ruolo di approvazione per l'endpoint privato

In genere, un amministratore di rete crea un endpoint privato. A seconda delle autorizzazioni di controllo degli accessi in base al ruolo (RBAC) di Azure, un endpoint privato creato viene approvato automaticamente per inviare traffico all'istanza di API Management oppure richiede al proprietario della risorsa di approvare manualmente la connessione.

Passaggi successivi

Per altre informazioni sull'endpoint privato e sui servizi di collegamento privato in Collegamento privato di Azure, vedere:

• Che cos'è l'endpoint privato di Azure?
• Che cos'è il servizio di collegamento privato di Azure?