Azure Portal 및 조건 편집기를 사용하여 이 조건을 추가하기 위한 설정은 다음과 같습니다.
역할 할당 추가 및 제거 작업을 모두 대상으로 할당하려면 두 가지 조건을 추가해야 합니다. 각 작업마다 특성 원본이 다르기 때문에 두 가지 조건을 추가해야 합니다. 동일한 조건에서 두 작업을 모두 대상으로 지정하려고 하면 식을 추가할 수 없습니다. 자세한 내용은 증상 - 사용할 수 있는 옵션 없음 오류를 참조하세요.
Azure Portal 및 조건 편집기를 사용하여 이 조건을 추가하기 위한 설정은 다음과 같습니다.
역할 할당 추가 및 제거 작업을 모두 대상으로 할당하려면 두 가지 조건을 추가해야 합니다. 각 작업마다 특성 원본이 다르기 때문에 두 가지 조건을 추가해야 합니다. 동일한 조건에서 두 작업을 모두 대상으로 지정하려고 하면 식을 추가할 수 없습니다. 자세한 내용은 증상 - 사용할 수 있는 옵션 없음 오류를 참조하세요.
(
(
!(ActionMatches{'Microsoft.Authorization/roleAssignments/write'})
)
OR
(
@Request[Microsoft.Authorization/roleAssignments:RoleDefinitionId] ForAnyOfAnyValues:GuidEquals {5e467623-bb1f-42f4-a55d-6e525e11384b, a795c7a0-d4a2-40c1-ae25-d81f01202912}
AND
@Request[Microsoft.Authorization/roleAssignments:PrincipalType] ForAnyOfAnyValues:StringEqualsIgnoreCase {'User', 'Group'}
)
)
AND
(
(
!(ActionMatches{'Microsoft.Authorization/roleAssignments/delete'})
)
OR
(
@Resource[Microsoft.Authorization/roleAssignments:RoleDefinitionId] ForAnyOfAnyValues:GuidEquals {5e467623-bb1f-42f4-a55d-6e525e11384b, a795c7a0-d4a2-40c1-ae25-d81f01202912}
AND
@Resource[Microsoft.Authorization/roleAssignments:PrincipalType] ForAnyOfAnyValues:StringEqualsIgnoreCase {'User', 'Group'}
)
)
Azure PowerShell을 사용하여 이 조건을 추가하는 방법은 다음과 같습니다.
$roleDefinitionId = "f58310d9-a9f6-439a-9e8d-f62e7b41a168"
$principalId = "<principalId>"
$scope = "/subscriptions/<subscriptionId>"
$condition = "((!(ActionMatches{'Microsoft.Authorization/roleAssignments/write'})) OR (@Request[Microsoft.Authorization/roleAssignments:RoleDefinitionId] ForAnyOfAnyValues:GuidEquals {5e467623-bb1f-42f4-a55d-6e525e11384b, a795c7a0-d4a2-40c1-ae25-d81f01202912} AND @Request[Microsoft.Authorization/roleAssignments:PrincipalType] ForAnyOfAnyValues:StringEqualsIgnoreCase {'User', 'Group'})) AND ((!(ActionMatches{'Microsoft.Authorization/roleAssignments/delete'})) OR (@Resource[Microsoft.Authorization/roleAssignments:RoleDefinitionId] ForAnyOfAnyValues:GuidEquals {5e467623-bb1f-42f4-a55d-6e525e11384b, a795c7a0-d4a2-40c1-ae25-d81f01202912} AND @Resource[Microsoft.Authorization/roleAssignments:PrincipalType] ForAnyOfAnyValues:StringEqualsIgnoreCase {'User', 'Group'}))"
$conditionVersion = "2.0"
New-AzRoleAssignment -ObjectId $principalId -Scope $scope -RoleDefinitionId $roleDefinitionId -Condition $condition -ConditionVersion $conditionVersion
예: 역할 및 특정 그룹 제한
이 조건을 사용하면 대리자는 백업 기여자 또는 백업 읽기 권한자 역할에 대한 역할 할당만 추가하거나 제거할 수 있습니다. 또한 대리자는 마케팅(28c35fea-2099-4cf5-8ad9-473547bc9423) 또는 영업(86951b8b-723a-407b-a74a-1bca3f0c95d0)이라는 특정 그룹에만 이러한 역할을 할당할 수 있습니다.
Azure Portal 및 조건 편집기를 사용하여 이 조건을 추가하기 위한 설정은 다음과 같습니다.
역할 할당 추가 및 제거 작업을 모두 대상으로 할당하려면 두 가지 조건을 추가해야 합니다. 각 작업마다 특성 원본이 다르기 때문에 두 가지 조건을 추가해야 합니다. 동일한 조건에서 두 작업을 모두 대상으로 지정하려고 하면 식을 추가할 수 없습니다. 자세한 내용은 증상 - 사용할 수 있는 옵션 없음 오류를 참조하세요.
(
(
!(ActionMatches{'Microsoft.Authorization/roleAssignments/write'})
)
OR
(
@Request[Microsoft.Authorization/roleAssignments:RoleDefinitionId] ForAnyOfAnyValues:GuidEquals {5e467623-bb1f-42f4-a55d-6e525e11384b, a795c7a0-d4a2-40c1-ae25-d81f01202912}
AND
@Request[Microsoft.Authorization/roleAssignments:PrincipalId] ForAnyOfAnyValues:GuidEquals {28c35fea-2099-4cf5-8ad9-473547bc9423, 86951b8b-723a-407b-a74a-1bca3f0c95d0}
)
)
AND
(
(
!(ActionMatches{'Microsoft.Authorization/roleAssignments/delete'})
)
OR
(
@Resource[Microsoft.Authorization/roleAssignments:RoleDefinitionId] ForAnyOfAnyValues:GuidEquals {5e467623-bb1f-42f4-a55d-6e525e11384b, a795c7a0-d4a2-40c1-ae25-d81f01202912}
AND
@Resource[Microsoft.Authorization/roleAssignments:PrincipalId] ForAnyOfAnyValues:GuidEquals {28c35fea-2099-4cf5-8ad9-473547bc9423, 86951b8b-723a-407b-a74a-1bca3f0c95d0}
)
)
Azure PowerShell을 사용하여 이 조건을 추가하는 방법은 다음과 같습니다.
$roleDefinitionId = "f58310d9-a9f6-439a-9e8d-f62e7b41a168"
$principalId = "<principalId>"
$scope = "/subscriptions/<subscriptionId>"
$condition = "((!(ActionMatches{'Microsoft.Authorization/roleAssignments/write'})) OR (@Request[Microsoft.Authorization/roleAssignments:RoleDefinitionId] ForAnyOfAnyValues:GuidEquals {5e467623-bb1f-42f4-a55d-6e525e11384b, a795c7a0-d4a2-40c1-ae25-d81f01202912} AND @Request[Microsoft.Authorization/roleAssignments:PrincipalId] ForAnyOfAnyValues:GuidEquals {28c35fea-2099-4cf5-8ad9-473547bc9423, 86951b8b-723a-407b-a74a-1bca3f0c95d0})) AND ((!(ActionMatches{'Microsoft.Authorization/roleAssignments/delete'})) OR (@Resource[Microsoft.Authorization/roleAssignments:RoleDefinitionId] ForAnyOfAnyValues:GuidEquals {5e467623-bb1f-42f4-a55d-6e525e11384b, a795c7a0-d4a2-40c1-ae25-d81f01202912} AND @Resource[Microsoft.Authorization/roleAssignments:PrincipalId] ForAnyOfAnyValues:GuidEquals {28c35fea-2099-4cf5-8ad9-473547bc9423, 86951b8b-723a-407b-a74a-1bca3f0c95d0}))"
$conditionVersion = "2.0"
New-AzRoleAssignment -ObjectId $principalId -Scope $scope -RoleDefinitionId $roleDefinitionId -Condition $condition -ConditionVersion $conditionVersion
예: 가상 머신 관리 제한
이 조건을 사용하면 대리자는 가상 머신 관리자 로그인 또는 가상 머신 사용자 로그인 역할에 대한 역할 할당만 추가하거나 제거할 수 있습니다. 또한 대리자는 Dara(ea585310-c95c-4a68-af22-49af4363bbb1)라는 특정 사용자에게만 이러한 역할을 할당할 수 있습니다.
이 조건은 대리자가 방금 만든 가상 머신에 대해 자신에게 가상 머신 로그인 역할을 할당하도록 허용하려는 경우에 유용합니다.
Azure Portal 및 조건 편집기를 사용하여 이 조건을 추가하기 위한 설정은 다음과 같습니다.
역할 할당 추가 및 제거 작업을 모두 대상으로 할당하려면 두 가지 조건을 추가해야 합니다. 각 작업마다 특성 원본이 다르기 때문에 두 가지 조건을 추가해야 합니다. 동일한 조건에서 두 작업을 모두 대상으로 지정하려고 하면 식을 추가할 수 없습니다. 자세한 내용은 증상 - 사용할 수 있는 옵션 없음 오류를 참조하세요.
Azure Portal 및 조건 편집기를 사용하여 이 조건을 추가하기 위한 설정은 다음과 같습니다.
역할 할당 추가 및 제거 작업을 모두 대상으로 할당하려면 두 가지 조건을 추가해야 합니다. 각 작업마다 특성 원본이 다르기 때문에 두 가지 조건을 추가해야 합니다. 동일한 조건에서 두 작업을 모두 대상으로 지정하려고 하면 식을 추가할 수 없습니다. 자세한 내용은 증상 - 사용할 수 있는 옵션 없음 오류를 참조하세요.
Azure Portal 및 조건 편집기를 사용하여 이 조건을 추가하기 위한 설정은 다음과 같습니다.
역할 할당 추가 및 제거 작업을 모두 대상으로 할당하려면 두 가지 조건을 추가해야 합니다. 각 작업마다 특성 원본이 다르기 때문에 두 가지 조건을 추가해야 합니다. 동일한 조건에서 두 작업을 모두 대상으로 지정하려고 하면 식을 추가할 수 없습니다. 자세한 내용은 증상 - 사용할 수 있는 옵션 없음 오류를 참조하세요.
이 조건은 대리자가 대부분의 역할을 할당하도록 허용하지만 다른 대리자가 역할을 할당하는 것을 허용하지 않으려는 경우에 유용합니다.
참고 항목
이 조건은 주의해서 사용해야 합니다. 역할 할당을 만들 수 있는 권한이 포함된 새 기본 제공 또는 사용자 지정 역할이 나중에 추가되는 경우 이 조건으로 인해 대리자가 역할을 할당할 수 있습니다. 새로운 기본 제공 역할 또는 사용자 지정 역할을 포함하려면 조건을 업데이트해야 합니다.
Azure Portal 및 조건 편집기를 사용하여 이 조건을 추가하기 위한 설정은 다음과 같습니다.
역할 할당 추가 및 제거 작업을 모두 대상으로 할당하려면 두 가지 조건을 추가해야 합니다. 각 작업마다 특성 원본이 다르기 때문에 두 가지 조건을 추가해야 합니다. 동일한 조건에서 두 작업을 모두 대상으로 지정하려고 하면 식을 추가할 수 없습니다. 자세한 내용은 증상 - 사용할 수 있는 옵션 없음 오류를 참조하세요.
