Gebruikersrollen en -machtigingen in Azure SRE-agent

Uw agent kan problemen onderzoeken, acties uitvoeren op de productie-infrastructuur en toegang krijgen tot gevoelige gegevens in uw omgeving. Toegangsbeheer bepaalt wie acties kan aanvragen, wie deze kan goedkeuren en wie de configuratie van de agent kan wijzigen.

Overzicht van toegangsbeheer

Toegangsbeheer werkt in drie lagen:

Laag Controles Geconfigureerd op
Gebruikersrollen (deze pagina) Wat gebruikers kunnen doen met de agent Azure IAM op de agent-resource
Uitvoeringsmodi Of de agent vraagt voordat hij actie ondergaat Per reactieplan en per geplande taak
Agentmachtigingen Waar de agent toegang toe heeft op Azure, met on-behalf-of (OBO)-machtiging als terugvaloptie RBAC-rollen voor resourcegroepen

Vier ingebouwde rollen

Rol Kan doen Kan niet
SRE-agentlezer Threads, logboeken, incidenten weergeven Chatten, acties aanvragen, alles wijzigen
Standaardgebruiker voor SRE Agent Chat, diagnostiek uitvoeren, acties aanvragen, geplande taken beheren, kennisdocumenten uploaden, coderepository-connectoren toevoegen Acties goedkeuren, aangepaste agenten aanmaken, resources verwijderen
SRE Agent Auteur Maak aangepaste agenten, maak responsplannen, configureer incidentbeheer Chat, acties goedkeuren, kennisdocumenten uploaden, coderepository-connectoren toevoegen, geplande taken aanmaken, bronnen verwijderen.
SRE-agentbeheerder Acties goedkeuren, connectors beheren, resources verwijderen

De gebruiker die de agent maakt, ontvangt automatisch de rol SRE-agentbeheerder .

Caution

De rol SRE Agent Author alleen kan geen repositories toevoegen of kennis uploaden in het portaal. Deze bewerkingen vereisen de gegevensactie Microsoft.App/agents/memory/write, die niet is opgenomen in de rol Auteur. De rol Auteur omvat ook geen threads/write, dus een Auteur kan niet chatten.

Om de agent aan te passen en repositories te koppelen of kennis te uploaden, wijs je zowel SRE Agent Standard User als SRE Agent Author toe, of wijs je SRE Agent Administrator toe. De Azure-rollen Owner en Contributor vervangen deze rollen niet, omdat ze control-planeacties verlenen, niet de gegevensacties van SRE Agent.

Opmerking

Je kunt ook repository- en GitHub-credentialresources beheren via de Azure Resource Manager (ARM) extensiepaden onder Microsoft.App/agents/{agent}/repositories en Microsoft.App/agents/{agent}/githubAuths. Deze paden gebruiken extendedAgents permissies, waaronder de rol van Auteur. Als gevolg hiervan kan een operatie slagen via ARM, maar mislukken in het portaal voor een Auteur. Wijs SRE Agent Standard User toe wanneer de gebruiker de ondersteunde portalworkflow nodig heeft.

Wie moet welke rol hebben?

Rol Geven aan
SRE-agentlezer Auditors, complianceteams, belanghebbenden die zichtbaarheid nodig hebben
Standaardgebruiker voor SRE Agent L1/L2-technici, eerste responders, iedereen die problemen diagnosticeert
SRE Agent Auteur SRE-ingenieurs die aangepaste agenten maken, makers van responsplannen, teamleden die het gedrag van agenten aanpassen
SRE-agentbeheerder SRE-managers, cloudbeheerders, incidentcommandanten

Hoe de portal machtigingen afdwingt

De portal controleert uw Azure roltoewijzingen wanneer u de agent opent. Toegang wordt afgedwongen op twee niveaus.

Geen agenttoegang

Wanneer u geen roltoewijzing voor de SRE-agent hebt, wordt in de portal een scherm Access Required weergegeven met een schildpictogram en een Go naar Access Controlknop waarmee de blade Azure IAM wordt geopend. Als u Azure Eigenaar of Bijdrager voor de resource bent, ziet u ook een banner om de beheerdersrol automatisch toe te wijzen.

Back-end afdwingen

Wanneer u een SRE-agentrol hebt, maar een actie buiten uw machtigingen probeert uit te voeren, blokkeert de back-end de actie met een 403-fout. Bijvoorbeeld, een lezer kan geen bericht sturen, een standaardgebruiker kan geen aangepaste agent aanmaken, en een auteur kan geen actie goedkeuren of een repository-connector toevoegen in het portaal. Het portaal kan je misschien naar een pagina laten navigeren of een knop selecteren, maar de operatie mislukt wanneer deze de server bereikt. Het 403-antwoord kan een leeg lichaam hebben, dus verifieer de rol van de SRE Agent van de gebruiker voordat je Key Vault, ARM of netwerken probeert te troubleshooten.

Opmerking

Sommige portalfuncties schakelen proactief knoppen uit wanneer u geen schrijfmachtigingen hebt. Dit is echter nog niet consistent voor alle functies. De back-end dwingt altijd de juiste machtigingen af, ongeacht wat de gebruikersinterface weergeeft.

Waartoe elke rol toegang heeft

Oppervlak Reader Standaardgebruiker Author Administrator
Chat Threads bekijken (alleen lezen) Berichten verzenden, threads starten Threads bekijken (alleen lezen) Volledige toegang, acties goedkeuren, threads verwijderen
Agentcanvas Aangepaste agents weergeven Aangepaste agents weergeven Aangepaste agents maken, bewerken, verwijderen Aangepaste agents maken, bewerken, verwijderen
Kennisbasis Door documenten bladeren Bladeren + uploaden van documenten Door documenten bladeren Documenten uploaden en verwijderen
Connectoren voor coderepositories Connectors weergeven Connectoren bekijken + toevoegen, bewerken Connectors weergeven Connectors toevoegen, bewerken, verwijderen
Reactieplannen Plannen weergeven Plannen weergeven Plannen maken, bewerken, verwijderen Plannen maken, bewerken, verwijderen
Beheerde middelen Bekijk bronnen Bekijk bronnen Bekijk bronnen Resources toevoegen, verwijderen
Geplande taken Taken aanmaken, bewerken en verwijderen Taken aanmaken, bewerken en verwijderen
Settings Weergave-instellingen Weergave-instellingen Weergave-instellingen Instellingen wijzigen, agent stoppen of verwijderen

Rollen toewijzen

Rollen toewijzen via de Azure-portal (Toegangsbeheer (IAM)>Roltoewijzing toevoegen) of Azure CLI:

az role assignment create \
  --assignee user@company.com \
  --role "SRE Agent Administrator" \
  --scope <agent-resource-id>

Vervang de functienaam door SRE Agent Author, SRE Agent Standard User, of SRE Agent Reader indien nodig.

Om de agent resource ID te vinden, voer je uit:

az resource show \
  --resource-group <RESOURCE_GROUP_NAME> \
  --name <AGENT_NAME> \
  --resource-type Microsoft.App/agents \
  --query id -o tsv

Hoe rollen samenwerken

Stap Wie Action
1 Engineer (Standaard gebruiker) 'Het configuratieprobleem oplossen'
2 Author Bouwt een aangepaste agent met een responsplan voor configuratiefixes
3 Agent Stelt een saneringsplan op
4 Agent Kan niet uitvoeren omdat de actie goedkeuring van de beheerder vereist
5 Manager (beheerder) Beoordelingen en goedkeuringen
6 Agent Voert de fix uit met behulp van de beheerde identiteit of OBO-autorisatie