az role deny-assignment

Verwalten sie Verweigerungszuweisungen.

Ablehnungszuweisungen hindern Benutzer an der Ausführung bestimmter Aktionen für Azure-Ressourcen, auch wenn ihnen über eine Rollenzuweisung Zugriff erteilt wird. Vom Benutzer zugewiesene Verweigerungszuweisungen können erstellt werden, um Schreib-, Lösch- und Aktionsvorgänge in einem bestimmten Bereich zu verweigern und dabei bestimmte Prinzipale auszuschließen.

Befehle

Name	Beschreibung	Typ	Status
az role deny-assignment create	Erstellen Sie eine vom Benutzer zugewiesene Verweigerungszuweisung.	Core	GA
az role deny-assignment delete	Löschen sie eine vom Benutzer zugewiesene Verweigerungszuweisung.	Core	GA
az role deny-assignment list	Verweigerungszuweisungen auflisten.	Core	GA
az role deny-assignment show	Rufen Sie eine Verweigerungszuweisung ab.	Core	GA

az role deny-assignment create

Bearbeiten

Erstellen Sie eine vom Benutzer zugewiesene Verweigerungszuweisung.

Erstellt eine Verweigerungszuweisung, die bestimmte Aktionen im angegebenen Bereich blockiert. Zwei Modi werden unterstützt: (1) Jeder Modus (Standard) – verweigert Aktionen für alle Prinzipale, die mindestens einen ausgeschlossenen Prinzipal erfordern; (2) Pro Prinzipalmodus – verweigert Aktionen für einen bestimmten Benutzer oder dienstprincipal, der über "--principal-object-id" angegeben wurde. DataActions werden nicht unterstützt, DoNotApplyToChildScopes wird nicht unterstützt, Leseaktionen (*/lesen) sind nicht zulässig, und Gruppentypprinzipale sind nicht zulässig.

az role deny-assignment create [--acquire-policy-token]
                               [--actions]
                               [--assignment-name]
                               [--change-reference]
                               [--description]
                               [--exclude-principal-ids]
                               [--exclude-principal-types]
                               [--name]
                               [--not-actions]
                               [--principal-object-id]
                               [--principal-type {ServicePrincipal, User}]
                               [--scope]

Beispiele

Erstellen Sie eine Verweigerungszuweisung, die Rollenzuweisungen blockiert, für alle, mit Ausnahme eines Dienstprinzipals.

az role deny-assignment create --name "Block role assignment changes" --scope /subscriptions/00000000-0000-0000-0000-000000000000 --actions "Microsoft.Authorization/roleAssignments/write" "Microsoft.Authorization/roleAssignments/delete" --exclude-principal-ids 00000000-0000-0000-0000-000000000001 --exclude-principal-types ServicePrincipal

Erstellen Sie eine Verweigerungszuweisung für einen bestimmten Benutzer.

az role deny-assignment create --name "Deny resource deletion for user" --scope /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myGroup --actions "*/delete" --principal-object-id 00000000-0000-0000-0000-000000000001 --principal-type User

Erstellen Sie eine Verweigerungszuweisung für einen bestimmten Dienstprinzipal mit Ausschlüssen.

az role deny-assignment create --name "Deny write actions for app" --scope /subscriptions/00000000-0000-0000-0000-000000000000 --actions "*/write" --principal-object-id 00000000-0000-0000-0000-000000000001 --principal-type ServicePrincipal --exclude-principal-ids 00000000-0000-0000-0000-000000000002 --exclude-principal-types ServicePrincipal --description "Block write operations for this application"

Optionale Parameter

Die folgenden Parameter sind optional, aber je nach Kontext kann mindestens ein Parameter erforderlich sein, damit der Befehl erfolgreich ausgeführt werden kann.

--acquire-policy-token

Automatisches Abrufen eines Azure Policy Tokens für diesen Ressourcenvorgang.

Eigenschaft	Wert
Parametergruppe:	Global Policy Arguments

--actions

Leerzeichentrennte Liste von Aktionen, die verweigert werden sollen, z. B. "Microsoft. Authorization/roleAssignments/write". Hinweis: Leseaktionen (*/Lesen) sind für benutzerzuweisungsbezogene Verweigerungszuweisungen nicht zulässig.

--assignment-name

Eine GUID für die Verweigerungszuweisung. Wenn diese Angabe weggelassen wird, wird eine neue GUID generiert.

--change-reference

Die zugehörige Änderungsreferenz-ID für diesen Ressourcenvorgang.

Eigenschaft	Wert
Parametergruppe:	Global Policy Arguments

--description

Beschreibung der Verweigerungszuweisung.

--exclude-principal-ids

Leerzeichentrennte Liste der Prinzipalobjekt-IDs, die von der Ablehnung ausgeschlossen werden sollen. Erforderlich, wenn keine --principal-object-id angegeben wird (Jeder-Modus). Optional, wenn --principal-object-id angegeben wird.

--exclude-principal-types

Durch Leerzeichen getrennte Liste der Prinzipaltypen, die "--exclude-principal-ids" entsprechen. Akzeptierte Werte: Benutzer, Gruppe, ServicePrincipal.

--name -n

Der Anzeigename der Ablehnungszuweisung.

--not-actions

Durch Leerzeichen getrennte Liste von Aktionen, die von der Ablehnung ausgeschlossen werden sollen.

--principal-object-id

Die Objekt-ID eines bestimmten Benutzers oder servicePrincipal, der verweigert werden soll. Wenn sie weggelassen wird, gilt die Verweigerungszuweisung für "Jeder" (alle Prinzipale) und "--exclude-principal-ids" ist erforderlich. Gruppenprinzipale sind nicht zulässig.

--principal-type

Der Typ des von --principal-object-id angegebenen Prinzipals. Erforderlich, wenn --principal-object-id bereitgestellt wird. Akzeptierte Werte: Benutzer, ServicePrincipal.

Eigenschaft	Wert
Zulässige Werte:	ServicePrincipal, User

--scope

Bereich, für den die Verweigerungszuweisung gilt. Beispiel: /subscriptions/00000000-0000-0000-00000-000000000000 oder /subscriptions/0000000-0000-0000-0000-0000000000/resourceGroups/myGroup.

Globale Parameter

--debug

Erhöhen Sie die Ausführlichkeit der Protokollierung, um alle Debugprotokolle anzuzeigen.

Eigenschaft	Wert
Standardwert:	False

--help -h

Diese Hilfemeldung anzeigen und schließen.

--only-show-errors

Nur Fehler anzeigen, Warnungen unterdrücken.

Eigenschaft	Wert
Standardwert:	False

--output -o

Ausgabeformat.

Eigenschaft	Wert
Standardwert:	json
Zulässige Werte:	json, jsonc, none, table, tsv, yaml, yamlc

--query

JMESPath-Abfragezeichenfolge. Weitere Informationen und Beispiele finden Sie unter http://jmespath.org/.

--subscription

Name oder ID des Abonnements. Sie können das Standardabonnement mithilfe von az account set -s NAME_OR_IDkonfigurieren.

--verbose

Erhöhen Sie die Ausführlichkeit der Protokollierung. Verwenden Sie "-debug" für vollständige Debugprotokolle.

Eigenschaft	Wert
Standardwert:	False

az role deny-assignment delete

Bearbeiten

Löschen sie eine vom Benutzer zugewiesene Verweigerungszuweisung.

az role deny-assignment delete [--acquire-policy-token]
                               [--change-reference]
                               [--id]
                               [--name]
                               [--scope]
                               [--yes]

Beispiele

Löschen Sie eine Verweigerungszuweisung anhand ihrer vollqualifizierten ID.

az role deny-assignment delete --id /subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/denyAssignments/00000000-0000-0000-0000-000000000001

Löschen Sie eine Verweigerungszuweisung nach Name und Bereich.

az role deny-assignment delete --name 00000000-0000-0000-0000-000000000001 --scope /subscriptions/00000000-0000-0000-0000-000000000000

Optionale Parameter

Die folgenden Parameter sind optional, aber je nach Kontext kann mindestens ein Parameter erforderlich sein, damit der Befehl erfolgreich ausgeführt werden kann.

--acquire-policy-token

Automatisches Abrufen eines Azure Policy Tokens für diesen Ressourcenvorgang.

Eigenschaft	Wert
Parametergruppe:	Global Policy Arguments

--change-reference

Die zugehörige Änderungsreferenz-ID für diesen Ressourcenvorgang.

Eigenschaft	Wert
Parametergruppe:	Global Policy Arguments

--id

Die vollqualifizierte ID der zu löschenden Zuweisung verweigern.

--name -n

Der Name (GUID) der zu löschenden Zuweisung verweigern.

--scope

Bereich, für den die Verweigerungszuweisung gilt. Beispiel: /subscriptions/00000000-0000-0000-00000-000000000000 oder /subscriptions/0000000-0000-0000-0000-0000000000/resourceGroups/myGroup.

--yes -y

Nicht um Bestätigung bitten.

Eigenschaft	Wert
Standardwert:	False

Globale Parameter

--debug

Erhöhen Sie die Ausführlichkeit der Protokollierung, um alle Debugprotokolle anzuzeigen.

Eigenschaft	Wert
Standardwert:	False

--help -h

Diese Hilfemeldung anzeigen und schließen.

--only-show-errors

Nur Fehler anzeigen, Warnungen unterdrücken.

Eigenschaft	Wert
Standardwert:	False

--output -o

Ausgabeformat.

Eigenschaft	Wert
Standardwert:	json
Zulässige Werte:	json, jsonc, none, table, tsv, yaml, yamlc

--query

JMESPath-Abfragezeichenfolge. Weitere Informationen und Beispiele finden Sie unter http://jmespath.org/.

--subscription

Name oder ID des Abonnements. Sie können das Standardabonnement mithilfe von az account set -s NAME_OR_IDkonfigurieren.

--verbose

Erhöhen Sie die Ausführlichkeit der Protokollierung. Verwenden Sie "-debug" für vollständige Debugprotokolle.

Eigenschaft	Wert
Standardwert:	False

az role deny-assignment list

Bearbeiten

Verweigerungszuweisungen auflisten.

az role deny-assignment list [--filter]
                             [--scope]

Beispiele

Verweigerungszuweisungen im Abonnementbereich auflisten.

az role deny-assignment list --scope /subscriptions/00000000-0000-0000-0000-000000000000

Alle Verweigerungszuweisungen im aktuellen Abonnement auflisten.

az role deny-assignment list

Zuweisungen auflisten, die in einem Ressourcengruppenbereich vorhanden sind.

az role deny-assignment list --scope /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myGroup

Optionale Parameter

Die folgenden Parameter sind optional, aber je nach Kontext kann mindestens ein Parameter erforderlich sein, damit der Befehl erfolgreich ausgeführt werden kann.

--filter

OData-Filterausdruck, der angewendet werden soll. Beispiel: "atScope()" zum Auflisten im aktuellen Bereich oder "gdprExportPrincipalId eq '{objectId}'" zur Liste für einen bestimmten Prinzipal.

--scope

Bereich, für den die Verweigerungszuweisung gilt. Beispiel: /subscriptions/00000000-0000-0000-00000-000000000000 oder /subscriptions/0000000-0000-0000-0000-0000000000/resourceGroups/myGroup.

Globale Parameter

--debug

Erhöhen Sie die Ausführlichkeit der Protokollierung, um alle Debugprotokolle anzuzeigen.

Eigenschaft	Wert
Standardwert:	False

--help -h

Diese Hilfemeldung anzeigen und schließen.

--only-show-errors

Nur Fehler anzeigen, Warnungen unterdrücken.

Eigenschaft	Wert
Standardwert:	False

--output -o

Ausgabeformat.

Eigenschaft	Wert
Standardwert:	json
Zulässige Werte:	json, jsonc, none, table, tsv, yaml, yamlc

--query

JMESPath-Abfragezeichenfolge. Weitere Informationen und Beispiele finden Sie unter http://jmespath.org/.

--subscription

Name oder ID des Abonnements. Sie können das Standardabonnement mithilfe von az account set -s NAME_OR_IDkonfigurieren.

--verbose

Erhöhen Sie die Ausführlichkeit der Protokollierung. Verwenden Sie "-debug" für vollständige Debugprotokolle.

Eigenschaft	Wert
Standardwert:	False

az role deny-assignment show

Bearbeiten

Rufen Sie eine Verweigerungszuweisung ab.

az role deny-assignment show [--id]
                             [--name]
                             [--scope]

Beispiele

Zeigen Sie eine Verweigerungszuweisung anhand ihrer vollqualifizierten ID an.

az role deny-assignment show --id /subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/denyAssignments/00000000-0000-0000-0000-000000000001

Anzeigen einer Verweigerungszuweisung nach Name und Bereich.

az role deny-assignment show --name 00000000-0000-0000-0000-000000000001 --scope /subscriptions/00000000-0000-0000-0000-000000000000

Optionale Parameter

Die folgenden Parameter sind optional, aber je nach Kontext kann mindestens ein Parameter erforderlich sein, damit der Befehl erfolgreich ausgeführt werden kann.

--id

Die vollqualifizierte ID der Verweigerungszuweisung einschließlich Bereich, z. B. /subscriptions/{id}/providers/Microsoft. Authorization/denyAssignments/{denyAssignmentId}.

--name -n

Der Name (GUID) der Verweigerungszuweisung.

--scope

Bereich, für den die Verweigerungszuweisung gilt. Beispiel: /subscriptions/00000000-0000-0000-00000-000000000000 oder /subscriptions/0000000-0000-0000-0000-0000000000/resourceGroups/myGroup.

Globale Parameter

--debug

Erhöhen Sie die Ausführlichkeit der Protokollierung, um alle Debugprotokolle anzuzeigen.

Eigenschaft	Wert
Standardwert:	False

--help -h

Diese Hilfemeldung anzeigen und schließen.

--only-show-errors

Nur Fehler anzeigen, Warnungen unterdrücken.

Eigenschaft	Wert
Standardwert:	False

--output -o

Ausgabeformat.

Eigenschaft	Wert
Standardwert:	json
Zulässige Werte:	json, jsonc, none, table, tsv, yaml, yamlc

--query

JMESPath-Abfragezeichenfolge. Weitere Informationen und Beispiele finden Sie unter http://jmespath.org/.

--subscription

Name oder ID des Abonnements. Sie können das Standardabonnement mithilfe von az account set -s NAME_OR_IDkonfigurieren.

--verbose

Erhöhen Sie die Ausführlichkeit der Protokollierung. Verwenden Sie "-debug" für vollständige Debugprotokolle.

Eigenschaft	Wert
Standardwert:	False

Feedback

War diese Seite hilfreich?