New-AzRoleDefinition

New-AzRoleDefinition
    [-InputFile] <String>
    [-SkipClientSideScopeValidation]
    [-DefaultProfile <IAzureContextContainer>]
    [<CommonParameters>]

New-AzRoleDefinition
    [-Role] <PSRoleDefinition>
    [-SkipClientSideScopeValidation]
    [-DefaultProfile <IAzureContextContainer>]
    [<CommonParameters>]

L’applet de commande New-AzRoleDefinition crée un rôle personnalisé dans Azure Role-Based Access Control. Fournissez une définition de rôle en tant qu’entrée à la commande en tant que fichier JSON ou objet PSRoleDefinition.

La définition de rôle d’entrée DOIT contenir les propriétés suivantes :

1. Nom : nom du rôle personnalisé
2. Description : brève description du rôle qui récapitule l’accès accordé par le rôle.
3. Autorisations : tableau d’objets d’autorisation, chacun contenant actions et/ou DataActions. Utilisez Get-AzProviderOperation pour obtenir l’opération pour Azure fournisseurs de ressources qui peuvent être sécurisés à l’aide de Azure RBAC. Voici quelques chaînes d’opération valides :
   • « */read » accorde l’accès aux opérations de lecture de tous les fournisseurs de ressources Azure.
   • "Microsoft. Network/*/read » accorde l’accès aux opérations de lecture pour tous les types de ressources du Microsoft. Fournisseur de ressources réseau de Azure.
   • "Microsoft. Compute/virtualMachines/*" accorde l’accès à toutes les opérations de machines virtuelles et à ses types de ressources enfants.
4. AssignableScopes : ensemble d’étendues (Azure abonnements ou groupes de ressources) dans lesquelles le rôle personnalisé sera disponible pour l’affectation. Voici quelques étendues assignables valides :
   • « /subscriptions/c276fc76-9cd4-44c9-99a7-4fd71546436e », « /subscriptions/e91d47c4-76f3-4271-a796-21b4ecfe3624 » : rend le rôle disponible pour l’attribution dans deux abonnements.
   • « /subscriptions/c276fc76-9cd4-44c9-99a7-4fd71546436e » : rend le rôle disponible pour l’attribution dans un seul abonnement.
   • « /subscriptions/c276fc76-9cd4-44c9-99a7-4fd71546436e/resourceGroups/Network » : rend le rôle disponible uniquement pour l’attribution dans le groupe de ressources Réseau.

Chaque objet d’autorisation dans le tableau d’autorisations PEUT contenir :

1. Actions : ensemble d’opérations de plan de contrôle auxquelles le rôle personnalisé accorde l’accès.
2. NotActions : ensemble d’opérations qui doivent être exclues des actions pour déterminer les actions effectives.
3. DataActions : ensemble d’opérations de plan de données auxquelles le rôle personnalisé accorde l’accès.
4. NotDataActions : ensemble d’opérations qui doivent être exclues des DataActions.
5. Condition : condition Attribute-Based Access Control (ABAC) qui limite les autorisations.
6. ConditionVersion : version de la syntaxe de condition, par exemple « 2.0 » (obligatoire si la condition est spécifiée).

Voici un exemple de définition de rôle JSON qui peut être fourni en entrée : { « Name » : « Custom VM Operator », « Description » : « Can monitor all resources and start and restart virtual machines », « Permissions » : [ { « Actions » : [ « /read », « Microsoft. Compute/virtualMachines/restart/action », « Microsoft. Compute/virtualMachines/start/action » ], « NotActions » : [ « /write » ], « DataActions » : [ « Microsoft. Storage/storageAccounts/blobServices/containers/blobs/read » ], « NotDataActions » : [ « Microsoft. Storage/storageAccounts/blobServices/containers/blobs/write » ] } ], « AssignableScopes » : ["/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"] }

$role = New-Object -TypeName Microsoft.Azure.Commands.Resources.Models.Authorization.PSRoleDefinition
$role.Name = 'Virtual Machine Operator'
$role.Description = 'Can monitor, start, and restart virtual machines.'
$role.IsCustom = $true
$role.AssignableScopes = @("/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx")
$permission = New-Object -TypeName Microsoft.Azure.Commands.Resources.Models.Authorization.PSPermission
$permission.Actions = @(
    "Microsoft.Compute/*/read"
    "Microsoft.Compute/virtualMachines/start/action"
    "Microsoft.Compute/virtualMachines/restart/action"
    "Microsoft.Network/*/read"
    "Microsoft.Storage/*/read"
    "Microsoft.Authorization/*/read"
    "Microsoft.Resources/subscriptions/resourceGroups/read"
    "Microsoft.Resources/subscriptions/resourceGroups/resources/read"
    "Microsoft.Insights/alertRules/*"
    "Microsoft.Support/*"
)
$role.Permissions = @($permission)

New-AzRoleDefinition -Role $role

Crée un rôle personnalisé nommé « Opérateur de machine virtuelle » avec les actions spécifiées.

New-AzRoleDefinition -InputFile C:\Temp\roleDefinition.json

Crée un rôle personnalisé à partir d’un fichier de définition JSON.

Cette applet de commande prend en charge les paramètres courants : -Debug, -ErrorAction, -ErrorVariable, -InformationAction, -InformationVariable, -OutBuffer, -OutVariable, -PipelineVariable, -ProgressAction, -Verbose, -WarningAction et -WarningVariable. Pour plus d’informations, consultez about_CommonParameters.

Mots clés : azure, azurerm, arm, resource, management, manager, resource, group, template, deployment