共用方式為


使用 Azure 角色型存取控制來管理 Azure 備份復原點

Azure 角色型存取控制 (Azure RBAC) 可以對 Azure 進行更細緻的存取權管理。 Azure RBAC 可讓您區隔小組內的職責,而僅授與使用者執行作業所需的存取權。

重要

Azure 備份所提供的角色僅限執行可在 Azure 入口網站或透過 REST API 或復原服務保存庫 PowerShell 或 CLI Cmdlet 中執行的動作。 在 Azure 備份代理程式用戶端 UI、System Center Data Protection Manager UI 或 Azure 備份伺服器 UI 中執行的動作則非這些角色所能控制。

Azure 備份提供三種用來控制備份管理作業的內建角色。 深入了解 Azure 內建角色

  • 備份參與者 - 此角色具有所有用來建立和管理備份的權限,但用來刪除復原服務保存庫和賦予他人存取權的權限除外。 您可以將此角色想做是管理備份的系統管理員,其可執行每一種備份管理作業。
  • 備份操作員 - 此角色擁有參與者的所有權限,但用來移除備份和管理備份原則的權限除外。 此角色相當於參與者,但無法執行破壞性作業,例如停止備份並刪除資料,或移除內部部署資源的註冊。
  • 備份讀取者 - 此角色擁有用來檢視所有備份管理作業的權限。 您可以將此角色想做是監視者。

如果您想要定義自己的角色,獲得更進一步控制,請參閱如何建立 Azure RBAC 中的自訂角色

將備份的內建角色對應至備份管理動作

Azure VM 備份的最低角色需求

下表會擷取備份管理動作與執行該作業所需的對應最低 Azure 角色。

管理作業 需要的最低 Azure 角色 所需的範圍 替代函式
建立復原服務保存庫 備份參與者 包含保存庫的資源群組
啟用 Azure VM 的備份 備份操作員 包含保存庫的資源群組
虛擬機器參與者 VM 資源 或者,不要使用內建角色,您可以考慮具有下列權限的自訂角色:Microsoft.Compute/virtualMachines/write Microsoft.Compute/virtualMachines/read
啟用 Azure VM 備份 (從 VM 刀鋒視窗) 備份操作員 包含保存庫的資源群組
備份操作員 包含虛擬機器的資源群組
虛擬機器參與者 VM 資源 或者,不要使用內建角色,您可以考慮具有下列權限的自訂角色:Microsoft.Compute/virtualMachines/write Microsoft.Compute/virtualMachines/read Microsoft.Compute/virtualMachines/instanceView/read
VM 的隨選備份 備份操作員 復原服務保存庫
還原 VM 備份操作員 復原服務保存庫
參與者 將部署 VM 的資源群組 或者,不要使用內建角色,您可以考慮具有下列權限的自訂角色:Microsoft.Resources/subscriptions/resourceGroups/write Microsoft.DomainRegistration/domains/write (只有傳統 VM 還原才需要,受控 VM 則不需要)、Microsoft.Compute/virtualMachines/write Microsoft.Compute/virtualMachines/read Microsoft.Network/virtualNetworks/read Microsoft.Network/virtualNetworks/subnets/read Microsoft.Network/virtualNetworks/subnets/join/action
虛擬機器參與者 備份的來源 VM 或者,不要使用內建角色,您可以考慮具有下列權限的自訂角色:Microsoft.Compute/virtualMachines/write Microsoft.Compute/virtualMachines/read
儲存體帳戶參與者 要還原磁碟的儲存體帳戶資源 或者,不要使用內建角色,您可以考慮具有下列權限的自訂角色:Microsoft.Storage/storageAccounts/write Microsoft.Storage/storageAccounts/listkeys/action
還原非受控磁碟 VM 備份 備份操作員 復原服務保存庫
虛擬機器參與者 備份的來源 VM 或者,不要使用內建角色,您可以考慮具有下列權限的自訂角色:Microsoft.Compute/virtualMachines/write Microsoft.Compute/virtualMachines/read
儲存體帳戶參與者 要還原磁碟的儲存體帳戶資源 或者,不要使用內建角色,您可以考慮具有下列權限的自訂角色:Microsoft.Storage/storageAccounts/write Microsoft.Storage/storageAccounts/listkeys/action
從 VM 備份還原受控磁碟 備份操作員 復原服務保存庫
虛擬機器參與者 備份的來源 VM 或者,不要使用內建角色,您可以考慮具有下列權限的自訂角色:Microsoft.Compute/virtualMachines/write Microsoft.Compute/virtualMachines/read
儲存體帳戶參與者 在還原過程中選取,用來在將保存庫的資料轉換至受控磁碟之前,先保留資料的暫時儲存體帳戶 或者,不要使用內建角色,您可以考慮具有下列權限的自訂角色:Microsoft.Storage/storageAccounts/write Microsoft.Storage/storageAccounts/listkeys/action
參與者 要將受控磁碟還原到其中的資源群組 或者,不要使用內建角色,您可以考慮具有下列權限的自訂角色:Microsoft.Resources/subscriptions/resourceGroups/write
從 VM 備份還原個別檔案 備份操作員 復原服務保存庫
虛擬機器參與者 備份的來源 VM 或者,不要使用內建角色,您可以考慮具有下列權限的自訂角色:Microsoft.Compute/virtualMachines/write Microsoft.Compute/virtualMachines/read
跨區域還原 備份操作員 復原服務保存庫的訂用帳戶 這是以上所提及的還原權限的增加。 特別針對 CRR,不要使用內建角色,您可以考慮具有下列權限的自訂角色:"Microsoft.RecoveryServices/locations/backupAadProperties/read" "Microsoft.RecoveryServices/locations/backupCrrJobs/action" "Microsoft.RecoveryServices/locations/backupCrrJob/action" "Microsoft.RecoveryServices/locations/backupCrossRegionRestore/action" "Microsoft.RecoveryServices/locations/backupCrrOperationResults/read" "Microsoft.RecoveryServices/locations/backupCrrOperationsStatus/read"
建立 Azure VM 備份的備份原則 備份參與者 復原服務保存庫
修改 Azure VM 備份的備份原則 備份參與者 復原服務保存庫
刪除 Azure VM 備份的備份原則 備份參與者 復原服務保存庫
在 VM 備份上停止備份 (保留資料或刪除資料) 備份參與者 復原服務保存庫
註冊內部部署 Windows Server/用戶端/SCDPM 或 Azure 備份伺服器 備份操作員 復原服務保存庫
刪除已註冊的內部部署 Windows Server/用戶端/SCDPM 或 Azure 備份伺服器 備份參與者 復原服務保存庫

重要

如果您在 VM 資源範圍指定 VM 參與者,並選取 [備份] 作為 VM 設定的一部分,則會開啟 [啟用備份] 畫面,即使 VM 已備份也一樣。 這是因為驗證備份狀態的呼叫僅適用於訂用帳戶層級。 若要避免這種情況,請移至保存庫並開啟 VM 的備份項目檢視,或在訂用帳戶層級指定 VM 參與者角色。

Azure 工作負載備份 (SQL 和 HANA DB 備份) 的最低角色需求

下表會擷取備份管理動作與執行該作業所需的對應最低 Azure 角色。

管理作業 需要的最低 Azure 角色 所需的範圍 替代函式
建立復原服務保存庫 備份參與者 包含保存庫的資源群組
啟用 SQL 和/或 HANA 資料庫的備份 備份操作員 包含保存庫的資源群組
虛擬機器參與者 安裝資料庫所在的 VM 資源 或者,不要使用內建角色,您可以考慮具有下列權限的自訂角色:Microsoft.Compute/virtualMachines/write Microsoft.Compute/virtualMachines/read
資料庫的隨選備份 備份操作員 復原服務保存庫
還原資料庫或還原為檔案 備份操作員 復原服務保存庫
虛擬機器參與者 備份的來源 VM 或者,不要使用內建角色,您可以考慮具有下列權限的自訂角色:Microsoft.Compute/virtualMachines/write Microsoft.Compute/virtualMachines/read
虛擬機器參與者 將在其中還原資料庫或建立檔案的目標 VM 或者,不要使用內建角色,您可以考慮具有下列權限的自訂角色:Microsoft.Compute/virtualMachines/write Microsoft.Compute/virtualMachines/read
建立 Azure VM 備份的備份原則 備份參與者 復原服務保存庫
修改 Azure VM 備份的備份原則 備份參與者 復原服務保存庫
刪除 Azure VM 備份的備份原則 備份參與者 復原服務保存庫
在 VM 備份上停止備份 (保留資料或刪除資料) 備份參與者 復原服務保存庫
虛擬機器參與者 備份的來源 VM 或者,不要使用內建角色,您可以考慮具有下列權限的自訂角色:Microsoft.Compute/virtualMachines/write
跨區域還原 備份操作員 復原服務保存庫的訂用帳戶 這是以上所提及的還原權限的補充。 如果是跨區域還原 (而不是內建角色),您可以使用具有下列權限的自訂角色:

- Microsoft.RecoveryServices/locations/backupAadProperties/read

- Microsoft.RecoveryServices/locations/backupCrrJobs/action

- Microsoft.RecoveryServices/locations/backupCrrJob/action

- Microsoft.RecoveryServices/locations/backupCrossRegionRestore/action

- Microsoft.RecoveryServices/locations/backupCrrOperationResults/read

- Microsoft.RecoveryServices/locations/backupCrrOperationsStatus/read

Azure 檔案共用備份的最低角色需求

下表會擷取備份管理動作與執行該作業所需的對應 Azure 角色。

管理作業 需要的角色 資源
在復原服務保存庫中啟用備份 備份參與者 復原服務保存庫
儲存體帳戶參與者 儲存體帳戶資源
從檔案共用刀鋒啟用備份 備份參與者 復原服務保存庫
儲存體帳戶參與者 儲存體帳戶資源
參與者 訂用帳戶
檔案共用的隨選備份 備份操作員 復原服務保存庫
還原檔案共用 備份操作員 復原服務保存庫
儲存體帳戶備份參與者 有還原來源和目標檔案共用的儲存體帳戶資源
還原個別檔案 備份操作員 復原服務保存庫
儲存體帳戶參與者 有還原來源和目標檔案共用的儲存體帳戶資源
停止保護 備份參與者 復原服務保存庫
從保存庫取消註冊儲存體帳戶 備份參與者 復原服務保存庫
儲存體帳戶參與者 儲存體帳戶資源

注意

若已在資源群組層級具有參與者存取權,並且想要從檔案共用刀鋒設定備份,請先確認您已取得訂用帳戶層級的 microsoft.recoveryservices/Locations/backupStatus/action 許可權。 若要這樣做,請建立自訂角色,並指派此許可權。

Azure 磁碟備份的最低角色需求

管理作業 需要的最低 Azure 角色 所需的範圍 替代函式
先驗證再設定備份 備份操作員 備份保存庫
磁碟備份讀取器 要備份的磁碟
從備份保存庫啟用備份 備份操作員 備份保存庫
磁碟備份讀取器 要備份的磁碟 此外,應該將這些權限授與備份保存庫 MSI
磁碟的隨選備份 備份操作員 備份保存庫
先驗證再復原磁碟 備份操作員 備份保存庫
磁碟還原運算子 將用於儲存復原磁碟的資源群組
復原磁碟 備份操作員 備份保存庫
磁碟還原運算子 將用於儲存復原磁碟的資源群組 此外,應該將這些權限授與備份保存庫 MSI

Azure Blob 備份的最低角色需求

管理作業 需要的最低 Azure 角色 所需的範圍 替代函式
先驗證再設定備份 備份操作員 備份保存庫
儲存體帳戶備份參與者 包含 Blob 的儲存體帳戶
從備份保存庫啟用備份 備份操作員 備份保存庫
儲存體帳戶備份參與者 包含 Blob 的儲存體帳戶 此外,應該將這些權限授與備份保存庫 MSI
Blob 的隨選備份 備份操作員 備份保存庫
先驗證再復原 blob 備份操作員 備份保存庫
儲存體帳戶備份參與者 包含 Blob 的儲存體帳戶
復原 blob 備份操作員 備份保存庫
儲存體帳戶備份參與者 包含 Blob 的儲存體帳戶 此外,應該將這些權限授與備份保存庫 MSI

適用於 PostGreSQL 伺服器備份的 Azure 資料庫最低角色需求

管理作業 需要的最低 Azure 角色 所需的範圍 替代函式
先驗證再設定備份 備份操作員 備份保存庫
讀取者 Azure PostGreSQL 伺服器
從備份保存庫啟用備份 備份操作員 備份保存庫
參與者 Azure PostGreSQL 伺服器 或者,您可以考慮具有下列權限的自訂角色,而不是內建角色:Microsoft.DBforPostgreSQL/servers/write Microsoft.DBforPostgreSQL/servers/read,此外,備份保存庫 MSI 應被授與這些權限
PostGreSQL 伺服器的隨選備份 備份操作員 備份保存庫
先驗證再復原伺服器 備份操作員 備份保存庫
參與者 目標 Azure PostGreSQL 伺服器 或者,您可以考慮具有下列權限的自訂角色,而不是內建角色:Microsoft.DBforPostgreSQL/servers/write Microsoft.DBforPostgreSQL/servers/read
還原伺服器 備份操作員 備份保存庫
參與者 目標 Azure PostGreSQL 伺服器 或者,您可以考慮具有下列權限的自訂角色,而不是內建角色:Microsoft.DBforPostgreSQL/servers/write Microsoft.DBforPostgreSQL/servers/read,此外,備份保存庫 MSI 應被授與這些權限

下一步