Pasos para asignar un rol de Azure

El control de acceso basado en rol (RBAC) de Azure es el sistema de autorización que puede utilizar para administrar el acceso a los recursos de Azure. Para conceder acceso, debe asignar roles a usuarios, grupos, entidades de servicio o identidades administradas en un ámbito determinado. En este artículo se describen los pasos generales para asignar roles de Azure mediante Azure Portal, Azure PowerShell, la CLI de Azureo la API REST.

Paso 1: determinar quién necesita acceso

En primer lugar, debe determinar quién necesita acceso. Puede asignar un rol a un usuario, grupo, entidad de servicio o identidad administrada. Esto también se denomina una entidad de seguridad.

• Usuario: persona que tiene un perfil en Microsoft Entra ID. También puede asignar roles a usuarios de otros inquilinos. Para obtener información sobre los usuarios de otras organizaciones, consulte Microsoft Entra B2B.
• Grupo: un conjunto de usuarios creados en Microsoft Entra ID. Cuando se asigna un rol a un grupo, todos los usuarios dentro de ese grupo tienen ese rol.
• Entidad de servicio: una identidad de seguridad usada por aplicaciones o servicios para acceder a recursos específicos de Azure. Puede considerarla como una identidad de usuario (nombre de usuario y contraseña o certificado) de una aplicación.
• Identidad administrada: identidad de Microsoft Entra ID administrada automáticamente por Azure. Normalmente, se usan identidades administradas cuando se desarrollan aplicaciones en la nube para administrar las credenciales para la autenticación en los servicios de Azure.

Paso 2: Selecciona el rol apropiado

Los permisos se agrupan en una definición de roles. Suele denominarse un rol. Puede seleccionar en una lista de varios roles integrados. Si los roles integrados no cumplen las necesidades específicas de su organización, puede crear sus propios roles personalizados.

Los roles se organizan en roles de función de trabajo y roles de administrador con privilegios.

Roles de función laboral

Los roles de función de trabajo permiten la administración de recursos específicos de Azure. Por ejemplo, el rol Colaborador de máquina virtual permite al usuario crear y administrar máquinas virtuales. Para seleccionar el rol de función de trabajo adecuado, siga estos pasos:

1. Empiece por este completo artículo, Roles integrados de Azure. La tabla que aparece en la parte superior del artículo es un índice de los detalles que aparecerán más adelante en el artículo.

2. En ese artículo, vaya a la categoría de servicio (por ejemplo, proceso, almacenamiento y bases de datos) del recurso al que quiere conceder permisos. La forma más fácil de encontrar lo que busca es normalmente buscar en la página una palabra clave significativa, como "blob", "máquina virtual", etc.

3. Revise los roles enumerados en la categoría de servicio e identifique las acciones específicas que necesite. De nuevo, empiece siempre por el rol más restrictivo.

   Por ejemplo, si una entidad de seguridad necesita leer blobs en una cuenta de almacenamiento de Azure, pero no necesita acceso de escritura, elija Storage Blob Data Reader en lugar de Storage Blob Data Contributor (y desde luego no el rol de nivel de administrador Storage Blob Data Owner). Siempre puede actualizar las asignaciones de roles más adelante según sea necesario.

4. Si no encuentra un rol adecuado, puede crear un rol personalizado.

Rol de administrador con privilegios

Los roles de administrador con privilegios son roles que conceden acceso de administrador con privilegios, como la capacidad de administrar recursos de Azure o asignar roles a otros usuarios. Los siguientes roles se consideran con privilegios y se aplican a todos los tipos de recursos.

Para conocer los procedimientos recomendados al usar asignaciones de roles de administrador con privilegios, consulte Procedimientos recomendados para RBAC de Azure. Para obtener más información, consulte Definición de roles de administrador con privilegios.

Paso 3: Identificación del ámbito necesario

Ámbito es el conjunto de recursos al que se aplica el acceso. En Azure, puede especificar un ámbito en cuatro niveles: grupo de administración, suscripción, grupo de recursos y recurso. Los ámbitos se organizan en una relación jerárquica de padre e hijo. Cada nivel de jerarquía hace que el ámbito sea más específico. Puede asignar roles en cualquiera de estos niveles de ámbito. El nivel que seleccione determina el grado de amplitud con que se aplica el rol. Los niveles inferiores heredan los permisos de rol de los niveles superiores.

Al asignar un rol a un ámbito principal, esos permisos se heredan a los ámbitos secundarios. Por ejemplo:

• Si asigna el rol Lector a un usuario del ámbito del grupo de administración, ese usuario puede leer todo en todas las suscripciones del grupo de administración.
• Si asigna el rol Lector de facturación a un grupo en el ámbito de la suscripción, los miembros de ese grupo pueden leer los datos de facturación de todos los grupos de recursos y recursos de la suscripción.
• Si asigna el rol Colaborador a una aplicación en el ámbito del grupo de recursos, puede administrar recursos de todos los tipos en ese grupo de recursos, pero no otros grupo de recursos de la suscripción.

Se recomienda conceder a las entidades de seguridad los privilegios mínimos que necesitan para realizar su trabajo. Evite la asignación de roles más amplios en ámbitos más amplios, aunque en principio pueda parecer más práctico. Al limitar los roles y los ámbitos, se limita qué recursos están en riesgo si la entidad de seguridad llega a verse comprometida. Para obtener más información, consulte Comprender el ámbito.

Paso 4: Comprobación de los requisitos previos

Para asignar roles, debe iniciar sesión con un usuario que tenga asignado un rol que tenga permisos de escritura de asignaciones de roles, como Administrador de control de acceso basado en roles en el ámbito que intenta asignar el rol. Del mismo modo, para eliminar una asignación de roles, debe tener el permiso para eliminar asignaciones de roles.

• Microsoft.Authorization/roleAssignments/write
• Microsoft.Authorization/roleAssignments/delete

Si la cuenta de usuario no tiene permisos para asignar un rol dentro de la suscripción, verá un mensaje de error indicando que su cuenta "no tiene autorización para realizar la acción 'Microsoft.Authorization/roleAssignments/write'". En este caso, póngase en contacto con los administradores de la suscripción, ya que ellos pueden asignar los permisos en su nombre.

Si usa una entidad de servicio para asignar roles, puede obtener el error "No tiene privilegios suficientes para completar la operación". Es probable que este error se deba a que Azure está intentando buscar la identidad del receptor en Microsoft Entra ID y la entidad de servicio no puede leer Microsoft Entra ID de forma predeterminada. En este caso, debe conceder permisos a la entidad de servicio para leer datos en el directorio. Como alternativa, si estás usando la CLI de Azure, puedes crear la asignación de roles con el identificador de objeto del usuario asignado para omitir la búsqueda de Microsoft Entra. Para más información, consulte Solución de problemas de RBAC de Azure.

Paso 5: Asignación de un rol

Una vez que conozca la entidad de seguridad, el rol y el ámbito, puede asignar el rol. Puede asignar roles mediante Azure Portal, Azure PowerShell, la CLI de Azure, los SDK de Azure o las API REST.

Puedes tener hasta 5000 asignaciones de roles en cada suscripción. Este límite incluye las asignaciones de roles en los ámbitos de suscripción, grupo de recursos y recursos. Las asignaciones de funciones aptas y las asignaciones de roles programadas en el futuro no cuentan para este límite. Puede tener un máximo de 500 asignaciones de roles en cada grupo de administración. Para más información, consulte Solución de problemas de límites de RBAC de Azure.

Consulte los artículos siguientes para conocer los pasos detallados sobre cómo asignar roles.

• Asignación de roles de Azure mediante Azure Portal
• Asignación de roles de Azure mediante Azure PowerShell
• Asignación de roles de Azure mediante la CLI de Azure
• Asignación de roles de Azure mediante la API REST

Pasos siguientes

• Tutorial: Conceder acceso a un usuario a los recursos de Azure mediante Azure Portal