Rolmachtigingen en beveiliging beheren in Azure Automation

Op rollen gebaseerd toegangsbeheer van Azure (Azure RBAC) maakt toegangsbeheer mogelijk voor Azure-resources. Met Azure RBAC kunt u taken in uw team scheiden en alleen de hoeveelheid toegang verlenen tot gebruikers, groepen en toepassingen die ze nodig hebben om hun taken uit te voeren. U kunt op rollen gebaseerde toegang verlenen aan gebruikers met behulp van Azure Portal, Azure Command-Line tools of Azure Beheer API's.

Rollen in Automation-accounts

In Azure Automation wordt toegang verleend door de juiste Azure-rol toe te wijzen aan gebruikers, groepen en toepassingen bij het Automation-accountbereik. Hieronder vindt u de ingebouwde rollen die worden ondersteund met een Automation-account:

Rolmachtigingen

In de volgende tabellen worden de specifieke machtigingen beschreven die aan elke rol zijn verleend. Dit kan Acties omvatten, die machtigingen verlenen, en Niet-acties, die machtigingen beperken.

Eigenaar

Een eigenaar kan alles beheren, inclusief toegang. In de volgende tabel ziet u de machtigingen die voor de rol zijn verleend:

Inzender

Een inzender kan alles beheren, behalve de toegang. In de volgende tabel ziet u de machtigingen die zijn verleend en geweigerd voor de rol:

Lezer

Met de rol van Lezer kunt u alle resources in een Automation-account bekijken, maar niets wijzigen.

Bijdrager automatisering

Een Automation-inzender kan alle resources in het Automation-account beheren, met uitzondering van toegang. In de volgende tabel ziet u de machtigingen die voor de rol zijn verleend:

Automatiseringsoperator

Een Automation-operator kan taken maken en beheren en runbooknamen en -eigenschappen lezen voor alle runbooks in een Automation-account.

In de volgende tabel ziet u de machtigingen die voor de rol zijn verleend:

Operator voor automatiseringstaken

De rol Automation-taakoperator wordt toegekend op het bereik van het Automation-account. Hierdoor kan de operator met deze machtigingen jobs maken en beheren voor alle runbooks binnen het account. Als aan de rol Taakoperator leesmachtigingen zijn verleend voor de resourcegroep die het Automation-account bevat, kunnen leden van de rol runbooks starten. Ze kunnen ze echter niet maken, bewerken of verwijderen.

In de volgende tabel ziet u de machtigingen die voor de rol zijn verleend:

Operator voor Automation-runbook

De rol Automation Runbook Operator wordt toegekend op runbookniveau. Een Automation Runbook-operator kan de naam en eigenschappen van het runbook bekijken. Deze rol in combinatie met de rol Automation Job Operator stelt de operator in staat om ook jobs voor het runbook te maken en te beheren. In de volgende tabel ziet u de machtigingen die voor de rol zijn verleend:

Inzender van Log Analytics

Een Log Analytics-inzender kan alle bewakingsgegevens lezen en bewakingsinstellingen bewerken. Het bewerken van bewakingsinstellingen omvat het toevoegen van de VM-extensie aan VM's; opslagaccountsleutels lezen om het verzamelen van logboeken uit Azure Storage te kunnen configureren; maken en configureren van Automation-accounts; functies toevoegen; en het configureren van Diagnostische gegevens van Azure voor alle Azure-resources. In de volgende tabel ziet u de machtigingen die voor de rol zijn verleend:

Lezer van Log Analytics

Een Log Analytics-lezer kan alle bewakingsgegevens weergeven en doorzoeken, evenals bewakingsinstellingen, inclusief het weergeven van de configuratie van Azure Diagnostics op alle Azure-resources. In de volgende tabel ziet u de machtigingen die zijn verleend of geweigerd voor de rol:

Bijdrager voor bewaking

Een bewakingsbijdrager kan alle bewakingsgegevens lezen en bewakingsinstellingen bijwerken. In de volgende tabel ziet u de machtigingen die voor de rol zijn verleend:

Lezer voor bewaking

Een bewakingslezer kan alle bewakingsgegevens lezen. In de volgende tabel ziet u de machtigingen die voor de rol zijn verleend:

Beheerder van gebruikerstoegang

Beheerder gebruikerstoegang: kan gebruikerstoegang tot Azure-resources beheren. In de volgende tabel ziet u de machtigingen die voor de rol zijn verleend:

Toegangsmachtigingen voor de rol van lezer

De ingebouwde Reader-rol voor het Automation-account kan de API – GET /AUTOMATIONACCOUNTS/AGENTREGISTRATIONINFORMATION niet gebruiken om de sleutels van het Automation-account op te halen. Dit is een bewerking met hoge bevoegdheden die gevoelige informatie biedt die een beveiligingsrisico kan vormen voor een ongewenste kwaadwillende actor met lage bevoegdheden die toegang kan krijgen tot Automation-accountsleutels en acties kan uitvoeren met verhoogde bevoegdheden.

Voor toegang tot API – GET /AUTOMATIONACCOUNTS/AGENTREGISTRATIONINFORMATION raden we u aan over te stappen op de ingebouwde rollen, zoals Eigenaar, Bijdrager of Automation-bijdrager, om toegang te krijgen tot de sleutels van het Automation-account. Deze rollen hebben standaard de machtiging listKeys. Als best practice raden we u aan een aangepaste rol te maken met beperkte machtigingen voor toegang tot de Automation-accountsleutels. Voor een aangepaste rol moet u machtigingen toevoegen Microsoft.Automation/automationAccounts/listKeys/action aan de roldefinitie. Meer informatie over het maken van een aangepaste rol vanuit Azure Portal.

Machtigingen voor het instellen van functies

In de volgende secties worden de minimaal vereiste machtigingen beschreven die nodig zijn voor het inschakelen van updatebeheer en Wijzigingen bijhouden en inventaris functies.

Machtigingen voor het inschakelen van Updatebeheer en Bijhouden van wijzigingen en inventaris op een VM

¹ Deze machtiging is nodig om functies in te schakelen via de VM-portalervaring.

Machtigingen voor het inschakelen van Updatebeheer en Wijzigingen traceren en inventariseren vanuit een Automation-account

Rolmachtigingen beheren voor Hybrid Worker-groepen en Hybrid Workers

U kunt aangepaste Azure-rollen maken in Automation en de volgende machtigingen verlenen aan Hybrid Worker-groepen en Hybrid Workers:

• Hybrid Runbook Worker op basis van extensies

Azure RBAC configureren voor uw Automation-account

In de volgende sectie ziet u hoe u Azure RBAC configureert in uw Automation-account via Azure Portal en PowerShell.

Azure RBAC configureren met behulp van Azure Portal

1. Meld u aan bij Azure Portal en open uw Automation-account op de pagina Automation-accounts .

2. Selecteer Toegangsbeheer (IAM) en selecteer een rol in de lijst met beschikbare rollen. U kunt een van de beschikbare ingebouwde rollen kiezen die door een Automation-account worden ondersteund of een aangepaste rol die u mogelijk hebt gedefinieerd. Wijs de rol toe aan een gebruiker waaraan u machtigingen wilt verlenen.

   Raadpleeg Azure-rollen toewijzen met Azure Portal voor informatie over het toewijzen van rollen.

   Notitie

   U kunt alleen op rollen gebaseerd toegangsbeheer instellen in het Automation-accountbereik en niet op een resource onder het Automation-account.

Roltoewijzingen van een gebruiker verwijderen

U kunt de toegangsmachtiging verwijderen voor een gebruiker die het Automation-account niet beheert of die niet meer voor de organisatie werkt. De volgende stappen laten zien hoe u de roltoewijzingen van een gebruiker verwijdert. Zie Azure-roltoewijzingen verwijderen voor gedetailleerde stappen:

1. Open Toegangsbeheer (IAM) op een niveau, zoals een beheergroep, abonnement, resourcegroep of resource, waar u de toegang wilt intrekken.

2. Selecteer het tabblad Roltoewijzingen om de roltoewijzingen voor dit bereik weer te geven.

3. Voeg in de lijst met roltoewijzingen een vinkje toe naast de gebruiker met de roltoewijzing die u wilt verwijderen.

4. Selecteer Verwijderen.

   

Azure RBAC configureren met behulp van PowerShell

U kunt ook op rollen gebaseerde toegang tot een Automation-account configureren met behulp van de volgende Azure PowerShell-cmdlets:

Get-AzRoleDefinition bevat alle Azure-rollen die beschikbaar zijn in Microsoft Entra-id. U kunt deze cmdlet gebruiken met de Name parameter om alle acties weer te geven die een specifieke rol kan uitvoeren.

Get-AzRoleDefinition -Name 'Automation Operator'

Hier volgt de voorbeelduitvoer:

Name             : Automation Operator
Id               : d3881f73-407a-4167-8283-e981cbba0404
IsCustom         : False
Description      : Automation Operators are able to start, stop, suspend, and resume jobs
Actions          : {Microsoft.Authorization/*/read, Microsoft.Automation/automationAccounts/jobs/read, Microsoft.Automation/automationAccounts/jobs/resume/action,
                   Microsoft.Automation/automationAccounts/jobs/stop/action...}
NotActions       : {}
AssignableScopes : {/}

Get-AzRoleAssignment vermeldt Azure-roltoewijzingen in het opgegeven bereik. Zonder parameters retourneert deze cmdlet alle roltoewijzingen die zijn gemaakt onder het abonnement. Gebruik de ExpandPrincipalGroups parameter om toegangstoewijzingen weer te geven voor de opgegeven gebruiker, evenals de groepen waartoe de gebruiker behoort.

Voorbeeld: Gebruik de volgende cmdlet om alle gebruikers en hun rollen in een Automation-account weer te geven.

Get-AzRoleAssignment -Scope '/subscriptions/<SubscriptionID>/resourcegroups/<Resource Group Name>/Providers/Microsoft.Automation/automationAccounts/<Automation account name>'

Hier volgt de voorbeelduitvoer:

RoleAssignmentId   : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroup/providers/Microsoft.Automation/automationAccounts/myAutomationAccount/provid
                     ers/Microsoft.Authorization/roleAssignments/00000000-0000-0000-0000-000000000000
Scope              : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroup/providers/Microsoft.Automation/automationAccounts/myAutomationAccount
DisplayName        : admin@contoso.com
SignInName         : admin@contoso.com
RoleDefinitionName : Automation Operator
RoleDefinitionId   : d3881f73-407a-4167-8283-e981cbba0404
ObjectId           : aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
ObjectType         : User

Gebruik New-AzRoleAssignment om toegang toe te wijzen aan gebruikers, groepen en toepassingen aan een bepaald bereik.

Voorbeeld: Gebruik de volgende opdracht om de rol Automation-operator toe te wijzen voor een gebruiker in het automation-accountbereik.

New-AzRoleAssignment -SignInName <sign-in Id of a user you wish to grant access> -RoleDefinitionName 'Automation operator' -Scope '/subscriptions/<SubscriptionID>/resourcegroups/<Resource Group Name>/Providers/Microsoft.Automation/automationAccounts/<Automation account name>'

Hier volgt de voorbeelduitvoer:

RoleAssignmentId   : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/myResourceGroup/Providers/Microsoft.Automation/automationAccounts/myAutomationAccount/provid
                     ers/Microsoft.Authorization/roleAssignments/00000000-0000-0000-0000-000000000000
Scope              : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/myResourceGroup/Providers/Microsoft.Automation/automationAccounts/myAutomationAccount
DisplayName        : admin@contoso.com
SignInName         : admin@contoso.com
RoleDefinitionName : Automation Operator
RoleDefinitionId   : d3881f73-407a-4167-8283-e981cbba0404
ObjectId           : bbbbbbbb-1111-2222-3333-cccccccccccc
ObjectType         : User

Gebruik Remove-AzRoleAssignment om de toegang van een opgegeven gebruiker, groep of toepassing uit een bepaald bereik te verwijderen.

Voorbeeld: Gebruik de volgende opdracht om de gebruiker uit de rol Automation Operator te verwijderen binnen het bereik van het Automation-account.

Remove-AzRoleAssignment -SignInName <sign-in Id of a user you wish to remove> -RoleDefinitionName 'Automation Operator' -Scope '/subscriptions/<SubscriptionID>/resourcegroups/<Resource Group Name>/Providers/Microsoft.Automation/automationAccounts/<Automation account name>'

Vervang in het voorgaande voorbeeld sign-in ID of a user you wish to remove, SubscriptionID, Resource Group Name en Automation account name door uw accountgegevens. Kies ja wanneer u wordt gevraagd om te bevestigen voordat u doorgaat met het verwijderen van gebruikersroltoewijzingen.

Gebruikerservaring voor de rol van Automation-operator - Automation-account

Wanneer een gebruiker die is toegewezen aan de rol Automation-operator op het niveau van het Automation-account het Automation-account bekijkt waaraan hij/zij is toegewezen, kan de gebruiker alleen de lijst met runbooks, runbooktaken en planningen bekijken die in het Automation-account zijn gemaakt. Deze gebruiker kan de definities van deze items niet bekijken. De gebruiker kan de runbooktaak starten, stoppen, onderbreken, hervatten of plannen. De gebruiker heeft echter geen toegang tot andere Automation-resources, zoals configuraties, Hybrid Runbook Worker-groepen of DSC-knooppunten.

Azure RBAC configureren voor runbooks

Met Azure Automation kunt u Azure-rollen toewijzen aan specifieke runbooks. Voer hiervoor het volgende script uit om een gebruiker toe te voegen aan een specifiek runbook. Een Automation-accountbeheerder of tenantbeheerder kan dit script uitvoeren.

$rgName = "<Resource Group Name>" # Resource Group name for the Automation account
$automationAccountName ="<Automation account name>" # Name of the Automation account
$rbName = "<Name of Runbook>" # Name of the runbook
$userId = "<User ObjectId>" # Azure Active Directory (AAD) user's ObjectId from the directory

# Gets the Automation account resource
$aa = Get-AzResource -ResourceGroupName $rgName -ResourceType "Microsoft.Automation/automationAccounts" -ResourceName $automationAccountName

# Get the Runbook resource
$rb = Get-AzResource -ResourceGroupName $rgName -ResourceType "Microsoft.Automation/automationAccounts/runbooks" -ResourceName "$rbName"

# The Automation Job Operator role only needs to be run once per user.
New-AzRoleAssignment -ObjectId $userId -RoleDefinitionName "Automation Job Operator" -Scope $aa.ResourceId

# Adds the user to the Automation Runbook Operator role to the Runbook scope
New-AzRoleAssignment -ObjectId $userId -RoleDefinitionName "Automation Runbook Operator" -Scope $rb.ResourceId

Zodra het script is uitgevoerd, laat u de gebruiker zich aanmelden bij Azure Portal en selecteert u Alle resources. In de lijst kan de gebruiker het runbook zien waarvoor hij/zij is toegevoegd als Automation Runbook Operator.

Gebruikerservaring voor de Automation-operatorrol - Runbook

Wanneer een gebruiker die is toegewezen aan de rol Automation-operator in het runbookbereik een toegewezen runbook bekijkt, kan de gebruiker alleen het runbook starten en de runbooktaken weergeven.

Volgende stappen

• Zie Best practices voor beveiliging in Azure Automation voor meer informatie over beveiligingsrichtlijnen.
• Zie Azure-roltoewijzingen toevoegen of verwijderen met behulp van Azure PowerShell voor meer informatie over Azure RBAC met behulp van PowerShell.
• Zie Azure Automation-runbooktypen voor meer informatie over de typen runbooks.
• Zie Een runbook starten in Azure Automation om een runbook te starten.