Atribuir uma função do Azure para acesso a dados de fila

Para acessar dados de fila no portal do Azure com credenciais do Microsoft Entra, um usuário deve ter as seguintes atribuições de função:

• Uma função de acesso a dados, como Colaborador de Dados da Fila de Armazenamento
• A função Leitor do Azure Resource Manager

Para saber como atribuir essas funções a um usuário, siga as instruções fornecidas em Atribuir funções do Azure usando o portal do Azure.

A função Leitor é uma função do Gerenciador de Recursos do Azure que permite que os usuários exibam recursos da conta de armazenamento, mas não os modifiquem. Ele não fornece permissões de leitura para dados no Armazenamento do Azure, mas apenas para recursos de gerenciamento de contas. A função Leitor é necessária para que os usuários possam navegar até filas e mensagens no portal do Azure.

Por exemplo, se você atribuir a função de Colaborador de Dados da Fila de Armazenamento ao usuário Mary no nível de uma fila chamada sample-queue, Mary receberá acesso de leitura, gravação e exclusão a essa fila. No entanto, se Mary quiser exibir uma fila no portal do Azure, a função Colaborador de Dados da Fila de Armazenamento por si só não fornecerá permissões suficientes para navegar pelo portal até a fila para exibi-la. As permissões adicionais são necessárias para navegar pelo portal e visualizar os outros recursos que estão visíveis lá.

Um usuário deve receber a função de Leitor para usar o portal do Azure com credenciais do Microsoft Entra. No entanto, se um usuário tiver recebido uma função com permissões Microsoft.Storage/storageAccounts/listKeys/action , o usuário poderá usar o portal com as chaves da conta de armazenamento, por meio da autorização de Chave Compartilhada. Para usar as chaves da conta de armazenamento, o acesso à Chave Compartilhada deve ser permitido para a conta de armazenamento. Para obter mais informações sobre como permitir ou não o acesso à Chave Compartilhada, consulte Impedir autorização de Chave Compartilhada para uma conta de Armazenamento do Azure.

Você também pode atribuir uma função do Azure Resource Manager que forneça permissões adicionais além da função Leitor . A atribuição do mínimo possível de permissões é recomendada como uma prática recomendada de segurança. Para obter mais informações, veja Melhores práticas do RBAC do Azure.

Para atribuir uma função do Azure a uma entidade de segurança, chame o comando New-AzRoleAssignment . O formato do comando pode variar com base no escopo da atribuição. Para executar o comando, você deve ter uma função que inclua permissões Microsoft.Authorization/roleAssignments/write atribuídas a você no escopo correspondente ou acima.

Para atribuir uma função com escopo a uma fila, especifique uma cadeia de caracteres contendo o escopo da fila para o --scope parâmetro. O escopo de uma fila está no formato:

/subscriptions/<subscription>/resourceGroups/<resource-group>/providers/Microsoft.Storage/storageAccounts/<storage-account>/queueServices/default/queues/<queue-name>

O exemplo a seguir atribui a função de Colaborador de Dados da Fila de Armazenamento a um usuário, com escopo para uma fila chamada sample-queue. Certifique-se de substituir os valores de exemplo e os valores de espaço reservado entre colchetes por seus próprios valores:

New-AzRoleAssignment -SignInName <email> `
    -RoleDefinitionName "Storage Queue Data Contributor" `
    -Scope  "/subscriptions/<subscription>/resourceGroups/sample-resource-group/providers/Microsoft.Storage/storageAccounts/<storage-account>/queueServices/default/queues/sample-queue"

Para obter informações sobre como atribuir funções com o PowerShell no escopo da assinatura, grupo de recursos ou conta de armazenamento, consulte Atribuir funções do Azure usando o Azure PowerShell.

Para atribuir uma função do Azure a uma entidade de segurança, use o comando az role assignment create . O formato do comando pode variar com base no escopo da atribuição. O formato do comando pode variar com base no escopo da atribuição. Para executar o comando, você deve ter uma função que inclua permissões Microsoft.Authorization/roleAssignments/write atribuídas a você no escopo correspondente ou acima.

Para atribuir uma função com escopo a uma fila, especifique uma cadeia de caracteres contendo o escopo da fila para o --scope parâmetro. O escopo de uma fila está no formato:

/subscriptions/<subscription>/resourceGroups/<resource-group>/providers/Microsoft.Storage/storageAccounts/<storage-account>/queueServices/default/queues/<queue-name>

O exemplo a seguir atribui a função de Colaborador de Dados da Fila de Armazenamento a um usuário, com escopo para o nível da fila. Certifique-se de substituir os valores de exemplo e os valores de espaço reservado entre colchetes por seus próprios valores:

az role assignment create \
    --role "Storage Queue Data Contributor" \
    --assignee <email> \
    --scope "/subscriptions/<subscription>/resourceGroups/<resource-group>/providers/Microsoft.Storage/storageAccounts/<storage-account>/queueServices/default/queues/<queue>"

Para obter informações sobre como atribuir funções com o PowerShell no escopo da assinatura, grupo de recursos ou conta de armazenamento, consulte Atribuir funções do Azure usando a CLI do Azure.

Para saber como usar um modelo do Azure Resource Manager para atribuir uma função do Azure, consulte Atribuir funções do Azure usando modelos do Azure Resource Manager.