Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Uw agent kan problemen onderzoeken, acties uitvoeren op de productie-infrastructuur en toegang krijgen tot gevoelige gegevens in uw omgeving. Toegangsbeheer bepaalt wie acties kan aanvragen, wie deze kan goedkeuren en wie de configuratie van de agent kan wijzigen.
Overzicht van toegangsbeheer
Toegangsbeheer werkt in drie lagen:
| Laag | Controles | Geconfigureerd op |
|---|---|---|
| Gebruikersrollen (deze pagina) | Wat gebruikers kunnen doen met de agent | Azure IAM op de agent-resource |
| Uitvoeringsmodi | Of de agent vraagt voordat hij actie ondergaat | Per reactieplan en per geplande taak |
| Agentmachtigingen | Waar de agent toegang toe heeft op Azure, met on-behalf-of (OBO)-machtiging als terugvaloptie | RBAC-rollen voor resourcegroepen |
Vier ingebouwde rollen
| Rol | Kan doen | Kan niet |
|---|---|---|
| SRE-agentlezer | Threads, logboeken, incidenten weergeven | Chatten, acties aanvragen, alles wijzigen |
| Standaardgebruiker voor SRE Agent | Chat, diagnostiek uitvoeren, acties aanvragen, geplande taken beheren, kennisdocumenten uploaden, coderepository-connectoren toevoegen | Acties goedkeuren, aangepaste agenten aanmaken, resources verwijderen |
| SRE Agent Auteur | Maak aangepaste agenten, maak responsplannen, configureer incidentbeheer | Chat, acties goedkeuren, kennisdocumenten uploaden, coderepository-connectoren toevoegen, geplande taken aanmaken, bronnen verwijderen. |
| SRE-agentbeheerder | Acties goedkeuren, connectors beheren, resources verwijderen | — |
De gebruiker die de agent maakt, ontvangt automatisch de rol SRE-agentbeheerder .
Caution
De rol SRE Agent Author alleen kan geen repositories toevoegen of kennis uploaden in het portaal. Deze bewerkingen vereisen de gegevensactie Microsoft.App/agents/memory/write, die niet is opgenomen in de rol Auteur. De rol Auteur omvat ook geen threads/write, dus een Auteur kan niet chatten.
Om de agent aan te passen en repositories te koppelen of kennis te uploaden, wijs je zowel SRE Agent Standard User als SRE Agent Author toe, of wijs je SRE Agent Administrator toe. De Azure-rollen Owner en Contributor vervangen deze rollen niet, omdat ze control-planeacties verlenen, niet de gegevensacties van SRE Agent.
Opmerking
Je kunt ook repository- en GitHub-credentialresources beheren via de Azure Resource Manager (ARM) extensiepaden onder Microsoft.App/agents/{agent}/repositories en Microsoft.App/agents/{agent}/githubAuths. Deze paden gebruiken extendedAgents permissies, waaronder de rol van Auteur. Als gevolg hiervan kan een operatie slagen via ARM, maar mislukken in het portaal voor een Auteur. Wijs SRE Agent Standard User toe wanneer de gebruiker de ondersteunde portalworkflow nodig heeft.
Wie moet welke rol hebben?
| Rol | Geven aan |
|---|---|
| SRE-agentlezer | Auditors, complianceteams, belanghebbenden die zichtbaarheid nodig hebben |
| Standaardgebruiker voor SRE Agent | L1/L2-technici, eerste responders, iedereen die problemen diagnosticeert |
| SRE Agent Auteur | SRE-ingenieurs die aangepaste agenten maken, makers van responsplannen, teamleden die het gedrag van agenten aanpassen |
| SRE-agentbeheerder | SRE-managers, cloudbeheerders, incidentcommandanten |
Hoe de portal machtigingen afdwingt
De portal controleert uw Azure roltoewijzingen wanneer u de agent opent. Toegang wordt afgedwongen op twee niveaus.
Geen agenttoegang
Wanneer u geen roltoewijzing voor de SRE-agent hebt, wordt in de portal een scherm Access Required weergegeven met een schildpictogram en een Go naar Access Controlknop waarmee de blade Azure IAM wordt geopend. Als u Azure Eigenaar of Bijdrager voor de resource bent, ziet u ook een banner om de beheerdersrol automatisch toe te wijzen.
Back-end afdwingen
Wanneer u een SRE-agentrol hebt, maar een actie buiten uw machtigingen probeert uit te voeren, blokkeert de back-end de actie met een 403-fout. Bijvoorbeeld, een lezer kan geen bericht sturen, een standaardgebruiker kan geen aangepaste agent aanmaken, en een auteur kan geen actie goedkeuren of een repository-connector toevoegen in het portaal. Het portaal kan je misschien naar een pagina laten navigeren of een knop selecteren, maar de operatie mislukt wanneer deze de server bereikt. Het 403-antwoord kan een leeg lichaam hebben, dus verifieer de rol van de SRE Agent van de gebruiker voordat je Key Vault, ARM of netwerken probeert te troubleshooten.
Opmerking
Sommige portalfuncties schakelen proactief knoppen uit wanneer u geen schrijfmachtigingen hebt. Dit is echter nog niet consistent voor alle functies. De back-end dwingt altijd de juiste machtigingen af, ongeacht wat de gebruikersinterface weergeeft.
Waartoe elke rol toegang heeft
| Oppervlak | Reader | Standaardgebruiker | Author | Administrator |
|---|---|---|---|---|
| Chat | Threads bekijken (alleen lezen) | Berichten verzenden, threads starten | Threads bekijken (alleen lezen) | Volledige toegang, acties goedkeuren, threads verwijderen |
| Agentcanvas | Aangepaste agents weergeven | Aangepaste agents weergeven | Aangepaste agents maken, bewerken, verwijderen | Aangepaste agents maken, bewerken, verwijderen |
| Kennisbasis | Door documenten bladeren | Bladeren + uploaden van documenten | Door documenten bladeren | Documenten uploaden en verwijderen |
| Connectoren voor coderepositories | Connectors weergeven | Connectoren bekijken + toevoegen, bewerken | Connectors weergeven | Connectors toevoegen, bewerken, verwijderen |
| Reactieplannen | Plannen weergeven | Plannen weergeven | Plannen maken, bewerken, verwijderen | Plannen maken, bewerken, verwijderen |
| Beheerde middelen | Bekijk bronnen | Bekijk bronnen | Bekijk bronnen | Resources toevoegen, verwijderen |
| Geplande taken | — | Taken aanmaken, bewerken en verwijderen | — | Taken aanmaken, bewerken en verwijderen |
| Settings | Weergave-instellingen | Weergave-instellingen | Weergave-instellingen | Instellingen wijzigen, agent stoppen of verwijderen |
Rollen toewijzen
Rollen toewijzen via de Azure-portal (Toegangsbeheer (IAM)>Roltoewijzing toevoegen) of Azure CLI:
az role assignment create \
--assignee user@company.com \
--role "SRE Agent Administrator" \
--scope <agent-resource-id>
Vervang de functienaam door SRE Agent Author, SRE Agent Standard User, of SRE Agent Reader indien nodig.
Om de agent resource ID te vinden, voer je uit:
az resource show \
--resource-group <RESOURCE_GROUP_NAME> \
--name <AGENT_NAME> \
--resource-type Microsoft.App/agents \
--query id -o tsv
Hoe rollen samenwerken
| Stap | Wie | Action |
|---|---|---|
| 1 | Engineer (Standaard gebruiker) | 'Het configuratieprobleem oplossen' |
| 2 | Author | Bouwt een aangepaste agent met een responsplan voor configuratiefixes |
| 3 | Agent | Stelt een saneringsplan op |
| 4 | Agent | Kan niet uitvoeren omdat de actie goedkeuring van de beheerder vereist |
| 5 | Manager (beheerder) | Beoordelingen en goedkeuringen |
| 6 | Agent | Voert de fix uit met behulp van de beheerde identiteit of OBO-autorisatie |