Assegnare ruoli controllo degli accessi in base al ruolo di Azure o ruoli di Microsoft Entra alle entità servizio di Desktop virtuale Azure

Ecco come assegnare un ruolo controllo degli accessi in base al ruolo di Azure a un'entità servizio Desktop virtuale Azure con ambito una sottoscrizione usando il portale di Azure.

1. Accedere al portale di Azure.

2. Nella casella di ricerca, immettere Microsoft Entra ID e selezionare la voce corrispondente del servizio.

3. Nella casella di ricerca Cerca tenant della pagina Panoramica, immettere l'ID applicazione per l'entità servizio che si vuole assegnare indicato nella tabella precedente.

4. Nei risultati selezionare l'applicazione aziendale corrispondente per l'entità servizio da assegnare, avviando Desktop virtuale Azure o Desktop virtuale Windows.

5. In proprietà prendere nota del nome e dell'ID oggetto. L'ID oggetto è correlato all'ID applicazione ed è univoco per il tenant.

6. Tornare alla casella di ricerca, immettere Sottoscrizioni e selezionare la voce del servizio corrispondente.

7. Selezionare la sottoscrizione a cui si vuole aggiungere l'assegnazione di ruolo.

8. Selezionare Controllo di accesso (IAM) e quindi + Aggiungi, seguito da Aggiungi assegnazione di ruolo.

9. Selezionare il ruolo da assegnare all'entità servizio di Desktop virtuale Azure, quindi selezionare Avanti.

10. Assicurarsi che l'opzione Assegna accesso a sia impostata su Utente, gruppo o entità servizio di Microsoft Entra, quindi selezionare Seleziona membri.

11. Immettere il nome dell'applicazione aziendale annotato in precedenza.

12. Selezionare la voce corrispondente nei risultati e quindi selezionare Seleziona. Se sono presenti due voci con lo stesso nome, selezionarle entrambe per il momento.

13. Esaminare l'elenco dei membri nella tabella. Se sono presenti due voci, rimuovere la voce che non corrisponde all'ID oggetto annotato in precedenza.

14. Selezionare Avanti, quindi selezionare Rivedi e assegna per completare l'assegnazione di ruolo.

Ecco come assegnare un ruolo controllo degli accessi in base al ruolo di Azure a un'entità servizio Desktop virtuale Azure con ambito a una sottoscrizione usando il modulo Az.DesktopVirtualization di PowerShell.

1. Aprire Azure Cloud Shell nel portale di Azure con il tipo di terminale PowerShell oppure eseguire PowerShell nel dispositivo locale.

   • Se si usa Cloud Shell, assicurarsi che il contesto di Azure sia impostato sulla sottoscrizione da usare.

   • Se si usa PowerShell in locale, per prima cosa accedere con Azure PowerShell, quindi assicurarsi che il contesto di Azure sia impostato sulla sottoscrizione da usare.

2. Trovare l'ID della sottoscrizione a cui si vuole aggiungere l'assegnazione di ruolo elencando tutti gli elementi disponibili con il comando seguente:

   Get-AzSubscription
   

3. Archiviare l'ID sottoscrizione in una variabile eseguendo il comando seguente, sostituendo l'ID sottoscrizione in questo esempio con il proprio:

   $subId = "<SubscriptionID>"
   

4. Assegnare il ruolo a un'entità servizio Desktop virtuale Azure eseguendo il comando seguente, sostituendo il valore per il RoleDefinitionName parametro con il nome del ruolo da assegnare e il ApplicationId parametro con ID applicazione dell'entità servizio che si vuole assegnare dalla tabella precedente. In questo esempio viene assegnato il ruolo Collaboratore di Power On Off di Virtualizzazione Desktop desktop desktop all'entità servizio Desktop virtuale Azure nella sottoscrizione:

   $parameters = @{
       RoleDefinitionName = "Desktop Virtualization Power On Off Contributor"
       ApplicationId = "9cdead84-a844-4324-93f2-b2e6bb768d07"
       Scope = "/subscriptions/$subId"
   }
   
   New-AzRoleAssignment @parameters
   

   L'output dovrebbe essere simile all'esempio seguente:

   RoleAssignmentName : c5221262-d1fa-4d32-9d60-8bd86f618d20
   RoleAssignmentId   : /subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleAssignments/c5221262-d1fa-4d32-9d60-8bd86f618d20
   Scope              : /subscriptions/00000000-0000-0000-0000-000000000000
   DisplayName        : Azure Virtual Desktop
   SignInName         : 
   RoleDefinitionName : Desktop Virtualization Power On Off Contributor
   RoleDefinitionId   : 40c5ff49-9181-41f8-ae61-143b0e78555e
   ObjectId           : aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
   ObjectType         : ServicePrincipal
   CanDelegate        : False
   Description        : 
   ConditionVersion   : 
   Condition          :
   

Ecco come assegnare un ruolo controllo degli accessi in base al ruolo di Azure a un'entità servizio Desktop virtuale Azure con ambito una sottoscrizione usando l'estensione desktopvirtualization per l'interfaccia della riga di comando di Azure.

1. Aprire Azure Cloud Shell nel portale di Azure con il tipo di terminale Bash oppure eseguire l'interfaccia della riga di comando di Azure nel dispositivo locale.

   • Se si usa Cloud Shell, assicurarsi che il contesto di Azure sia impostato sulla sottoscrizione da usare.

   • Se si usa l'interfaccia della riga di comando di Azure in locale, prima accedere con l'interfaccia della riga di comando di Azure, quindi assicurarsi che il contesto di Azure sia impostato sulla sottoscrizione che si desidera usare.

2. Trovare l'ID della sottoscrizione a cui si vuole aggiungere l'assegnazione di ruolo elencando tutti gli elementi disponibili con il comando seguente:

   az account list --output table
   

3. Archiviare il valore per SubscriptionId in una variabile eseguendo il comando seguente, sostituendo l'ID sottoscrizione in questo esempio con il proprio:

   subId=00000000-0000-0000-0000-000000000000
   

4. Assegnare il ruolo a un'entità servizio Desktop virtuale Azure eseguendo il comando seguente, sostituendo il valore per il role parametro con il nome del ruolo da assegnare e il assignee parametro con ID applicazione dell'entità servizio che si vuole assegnare dalla tabella precedente. In questo esempio viene assegnato il ruolo Collaboratore di Power On Off di Virtualizzazione Desktop desktop desktop all'entità servizio Desktop virtuale Azure nella sottoscrizione:

   az role assignment create \
       --assignee "9cdead84-a844-4324-93f2-b2e6bb768d07" \
       --role "Desktop Virtualization Power On Off Contributor" \
       --scope "/subscriptions/$subId"
   

   L'output dovrebbe essere simile all'esempio seguente:

   {
     "condition": null,
     "conditionVersion": null,
     "createdBy": null,
     "createdOn": "2023-06-22T13:50:22.978226+00:00",
     "delegatedManagedIdentityResourceId": null,
     "description": null,
     "id": "/subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleAssignments/a211100e-aa52-4f8d-aac9-ad0833f969d0",
     "name": "a211100e-aa52-4f8d-aac9-ad0833f969d0",
     "principalId": "00000000-0000-0000-0000-000000000000",
     "principalType": "ServicePrincipal",
     "roleDefinitionId": "/subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleDefinitions/40c5ff49-9181-41f8-ae61-143b0e78555e",
     "scope": "/subscriptions/00000000-0000-0000-0000-000000000000",
     "type": "Microsoft.Authorization/roleAssignments",
     "updatedBy": "effe20b0-5afb-4e68-a5d7-f8ef9873a070",
     "updatedOn": "2023-06-22T13:50:23.335229+00:00"
   }