Wyświetlanie listy przypisań odmowy platformy Azure

Podobnie jak przypisanie roli, przypisanie odmowy przypisuje zestaw akcji odmowy do użytkownika, grupy lub podmiotu usługi w określonym zakresie w celu zablokowania dostępu. Przypisania odmowy blokują użytkownikom możliwość wykonywania określonych działań dotyczących zasobów platformy Azure, nawet jeśli przypisanie roli daje im taki dostęp.

W tym artykule opisano sposób wyświetlania listy przypisań odmowy.

Ważne

Przypisania odmowy zarządzane przez klienta są obecnie w prywatnej wersji zapoznawczej. Dostępność powiązanych interfejsów API lub poleceń w wygenerowanej dokumentacji referencyjnej nie oznacza, że funkcja jest w publicznej wersji zapoznawczej lub ogólnie dostępna. W przypadku scenariuszy ogólnie dostępnych platforma Azure tworzy przypisania odmowy i zarządza nimi.

Jak tworzone są polecenia odmowy

W przypadku ogólnie dostępnych scenariuszy platforma Azure tworzy i zarządza przypisaniami odmowy, aby chronić zasoby. Możesz określić ustawienia odmowy podczas tworzenia stosu wdrożenia, co tworzy przypisanie odmowy, którego właścicielem są zasoby stosu wdrożenia. Aby uzyskać więcej informacji, zobacz Ochrona zarządzanych zasobów i Limity RBAC platformy Azure.

Porównanie przypisań ról i odmów przypisań

Przypisania odmowy są zgodne z podobnym wzorcem, jak przypisania ról, ale także mają pewne różnice.

Zdolność	Przypisanie roli	Odmów przypisania
Przyznaj dostęp	✅
Odmów dostępu		✅
Można utworzyć bezpośrednio	✅
Zastosuj w określonym zakresie	✅	✅
Wyklucz dyrektorów		✅
Zapobieganie dziedziczeniu do zakresów podrzędnych		✅
Aplikuj na klasyczne przypisania administratora subskrypcji		✅

Odmów właściwości przypisania

Przypisanie odmowy ma następujące właściwości:

Własność	Wymagany	Typ	Opis
`DenyAssignmentName`	Tak	Sznurek	Wyświetlana nazwa przypisania odmowy. Nazwy muszą być unikatowe dla danego zakresu.
`Description`	Nie.	Sznurek	Opis odmowy przypisania.
`Permissions.Actions`	Co najmniej jedna akcja lub jedno DataActions	Ciąg[]	Tablica ciągów określających akcje płaszczyzny sterowania, do których przypisanie odmowy blokuje dostęp.
`Permissions.NotActions`	Nie.	Ciąg[]	Tablica ciągów określających akcję płaszczyzny sterowania, które należy wykluczyć z przypisania odmowy.
`Permissions.DataActions`	Co najmniej jedna akcja lub jedno DataActions	Ciąg[]	Tablica ciągów określających akcje płaszczyzny danych, do których przypisanie odmowy blokuje dostęp.
`Permissions.NotDataActions`	Nie.	Ciąg[]	Tablica ciągów znaków określających akcje warstwy danych do wykluczenia z przypisania reguły odmowy.
`Scope`	Nie.	Sznurek	Ciąg określający zakres, do którego ma zastosowanie przypisanie odmowy.
`DoNotApplyToChildScopes`	Nie.	logiczny	Określa, czy przypisanie blokady ma zastosowanie do zakresów podrzędnych. Wartość domyślna to false.
`Principals[i].Id`	Tak	Ciąg[]	Tablica przedstawia identyfikatory obiektów głównych Microsoft Entra (użytkownika, grupy, jednostki usługi lub tożsamości zarządzanej), do których stosowana jest odmowa przypisania. Ustaw wartość pustego identyfikatora GUID `00000000-0000-0000-0000-000000000000` , aby reprezentować wszystkie podmioty.
`Principals[i].Type`	Nie.	Ciąg[]	Tablica typów obiektów reprezentowana przez Principals[i].Id. Ustaw na `SystemDefined`, aby reprezentować wszystkie podmioty.
`ExcludePrincipals[i].Id`	Nie.	Ciąg[]	Tablica identyfikatorów obiektów głównych firmy Microsoft Entra (użytkowników, grup, jednostek usługi lub tożsamości zarządzanych), do których odmowa dostępu nie ma zastosowania.
`ExcludePrincipals[i].Type`	Nie.	Ciąg[]	Tablica typów obiektów reprezentowanych przez element ExcludePrincipals[i].Id.
`IsSystemProtected`	Nie.	logiczny	Określa, czy to przypisanie odmowy zostało utworzone przez platformę Azure i nie można go edytować ani usunąć. Obecnie wszystkie przypisania "odmowy dostępu" są zabezpieczone systemowo.

Główny dyrektor wszystkich dyrektorów

Aby obsługiwać przypisania odmowy, wprowadzono podmiot zabezpieczeń zdefiniowany przez system o nazwie Wszystkie podmioty zabezpieczeń . Ten podmiot reprezentuje wszystkich użytkowników, grupy, zasady usług i zarządzane tożsamości w katalogu Microsoft Entra. Jeśli identyfikator główny jest zerowym identyfikatorem GUID 00000000-0000-0000-0000-000000000000 i typ podmiotu to SystemDefined, to podmiot ten reprezentuje wszystkie podmioty. W danych wyjściowych programu Azure PowerShell wszystkie podmioty zabezpieczeń wyglądają następująco:

Principals              : {
                          DisplayName:  All Principals
                          ObjectType:   SystemDefined
                          ObjectId:     00000000-0000-0000-0000-000000000000
                          }

Wszystkie podmioty zabezpieczeń można łączyć w ExcludePrincipals celu odmowy wszystkich podmiotów zabezpieczeń z wyjątkiem niektórych użytkowników. Wszyscy główni użytkownicy mają następujące ograniczenia:

Można używać tylko w programie Principals i nie można go używać w programie ExcludePrincipals.
Principals[i].Type musi być ustawiona na SystemDefined.

Lista odmowy przypisań

Wykonaj następujące kroki, aby wyświetlić listę przypisań odmowy.

Ważne

Nie można bezpośrednio tworzyć własnych zadań odmowy. Przypisania odmowy są tworzone i zarządzane przez Azure. Aby uzyskać więcej informacji, zobacz Ochrona zasobów zarządzanych przed usunięciem.

Wymagania wstępne

Aby uzyskać informacje o przypisaniu odmowy, musisz mieć następujące elementy:

Microsoft.Authorization/denyAssignments/read uprawnienie, które jest uwzględniane w większości wbudowanych ról platformy Azure.

Wyświetl listę przypisań odmowy w portalu Azure

Wykonaj następujące kroki, aby wyświetlić listę przypisań odmowy w zakresie subskrypcji lub grupy zarządzania.

W witrynie Azure Portal otwórz wybrany zakres, taki jak grupa zasobów lub subskrypcja.
Wybierz pozycję Kontrola dostępu (IAM).
Wybierz kartę Odmów przypisań (lub naciśnij przycisk Wyświetl na kafelku Wyświetl przydziały z odmową).

Jeśli istnieją jakiekolwiek przypisania odmowy w tym zakresie lub dziedziczone do tego zakresu, zostaną one wyświetlone.

Aby wyświetlić dodatkowe kolumny, wybierz pozycję Edytuj kolumny.

Kolumna	Opis
Nazwa	Nazwa przypisania odmowy.
Główny typ	Użytkownik, grupa, grupa zdefiniowana przez system lub jednostka usługi.
Odmowa	Nazwa podmiotu zabezpieczeń uwzględnionego w przypisaniu odmowy.
Id	Unikatowy identyfikator odmowy przypisania.
Wykluczone podmioty	Czy istnieją podmioty zabezpieczeń wykluczone z przypisania odmowy dostępu.
Nie dotyczy dzieci	Określa, czy przypisanie odmowy dostępu jest dziedziczone na podzakresy.
Ochrona systemu	Czy przypisanie odmowy jest zarządzane przez platformę Azure. Obecnie zawsze tak.
Zakres	Grupa zarządzania, subskrypcja, grupa zasobów lub zasób.

Dodaj znacznik wyboru do dowolnego z włączonych elementów, a następnie wybierz przycisk OK , aby wyświetlić wybrane kolumny.

Wyszczególnij szczegóły dotyczące przypisania odmowy

Wykonaj następujące kroki, aby wymienić dodatkowe szczegóły dotyczące przydziału odmowy.

Otwórz okienko Odmów przypisań zgodnie z opisem w poprzedniej sekcji.

Wybierz nazwę zadania odmowy dostępu, aby przejść do strony Użytkownicy.

Strona Użytkownicy zawiera następujące dwie sekcje.

Odmów ustawienie	Opis
Odmowa przypisania dotyczy	Podmioty zabezpieczeń, do których ma zastosowanie przypisanie odmowy.
Wyklucz przypisanie odmowy	Podmioty zabezpieczeń wykluczone z przypisania odmowy.

System-Defined Principal reprezentuje wszystkich użytkowników, grupy, jednostki usługi i tożsamości zarządzane w katalogu usługi Azure AD.

Aby wyświetlić listę uprawnień, które zostały odrzucone, wybierz pozycję Odmów uprawnień.

Typ akcji	Opis
Akcje	Odrzucone akcje płaszczyzny sterowania.
NotActions	Akcje płaszczyzny sterowania wykluczone z odrzuconych akcji płaszczyzny sterowania.
Akcje danych	Odrzucone akcje płaszczyzny danych.
NotDataActions (Akcje NotData)	Akcje płaszczyzny danych wykluczone z odrzuconych akcji płaszczyzny danych.

W przykładzie pokazanym na poprzednim zrzucie ekranu obowiązują następujące uprawnienia:

Wszystkie działania związane z magazynowaniem na płaszczyźnie danych są odrzucane, z wyjątkiem działań obliczeniowych.

Aby wyświetlić właściwości przypisania odmowy, wybierz pozycję Właściwości.

Na stronie Właściwości można zobaczyć nazwę odmowy przypisania, identyfikator, opis i zakres. Przełącznik Nie dotyczy dzieci wskazuje, czy przypisanie odmowy jest dziedziczone w podzakresach. Przełącznik chroniony przez system wskazuje, czy ten przydział odmowy jest zarządzany przez Azure. Obecnie jest to Tak we wszystkich przypadkach.

Wymagania wstępne

Aby uzyskać informacje o przypisaniu odmowy, musisz mieć następujące elementy:

Microsoft.Authorization/denyAssignments/read uprawnienie, które jest uwzględniane w większości wbudowanych ról platformy Azure
PowerShell w Azure Cloud Shell lub Azure PowerShell

Wyświetlanie listy wszystkich przypisań odmowy

Aby wyświetlić listę wszystkich przypisań odmowy dla bieżącej subskrypcji, użyj polecenia Get-AzDenyAssignment.

Get-AzDenyAssignment

PS C:\> Get-AzDenyAssignment
Id                      : /subscriptions/11111111-1111-1111-1111-111111111111/resourceGroups/demoRg/providers/Microsoft.Storage/storageAccounts/storef2dfaqv5dzzfy/providers/Microsoft.Authorization/denyAssignments/6d266d71-a890-53b7-b0d8-2af6769ac019
DenyAssignmentName      : Deny assignment '6d266d71-a890-53b7-b0d8-2af6769ac019' created by Deployment Stack '/subscriptions/11111111-1111-1111-1111-111111111111/resourceGroups/demoRg/providers/Microsoft.Resources/deploymentStacks/demoStack'.
Description             : Created by Deployment Stack '/subscriptions/11111111-1111-1111-1111-111111111111/resourceGroups/demoRg/providers/Microsoft.Resources/deploymentStacks/demoStack'.
Actions                 : {*/delete}
NotActions              : {Microsoft.Authorization/locks/delete, Microsoft.Storage/storageAccounts/delete}
DataActions             : {}
NotDataActions          : {}
Scope                   : /subscriptions/11111111-1111-1111-1111-111111111111/resourceGroups/demoRg/providers/Microsoft.Storage/storageAccounts/storef2dfaqv5dzzfy
DoNotApplyToChildScopes : True
Principals              : {
                          DisplayName:  All Principals
                          ObjectType:   SystemDefined
                          ObjectId:     00000000-0000-0000-0000-000000000000
                          }
ExcludePrincipals       : {
                          DisplayName:  User1
                          ObjectType:   User
                          ObjectId:     aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
                          }
IsSystemProtected       : True

Id                      : /subscriptions/11111111-1111-1111-1111-111111111111/resourceGroups/demoRg/providers/Microsoft.Network/virtualNetworks/vnetf2dfaqv5dzzfy/providers/Microsoft.Authorization/denyAssignments/36a162b5-ddcc-529a-9deb-673250f90ba7
DenyAssignmentName      : Deny assignment '36a162b5-ddcc-529a-9deb-673250f90ba7' created by Deployment Stack '/subscriptions/11111111-1111-1111-1111-111111111111/resourceGroups/demoRg/providers/Microsoft.Resources/deploymentStacks/demoStack'.
Description             : Created by Deployment Stack '/subscriptions/11111111-1111-1111-1111-111111111111/resourceGroups/demoRg/providers/Microsoft.Resources/deploymentStacks/demoStack'.
Actions                 : {*/delete}
NotActions              : {Microsoft.Authorization/locks/delete, Microsoft.Storage/storageAccounts/delete}
DataActions             : {}
NotDataActions          : {}
Scope                   : /subscriptions/11111111-1111-1111-1111-111111111111/resourceGroups/demoRg/providers/Microsoft.Network/virtualNetworks/vnetf2dfaqv5dzzfy
DoNotApplyToChildScopes : True
Principals              : {
                          DisplayName:  All Principals
                          ObjectType:   SystemDefined
                          ObjectId:     00000000-0000-0000-0000-000000000000
                          }
ExcludePrincipals       : {
                          DisplayName:  User1
                          ObjectType:   User
                          ObjectId:     aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
                          }
IsSystemProtected       : True

Lista przypisań odmów w zakresie grupy zasobów

Aby wyświetlić listę wszystkich przypisań odmowy w zakresie grupy zasobów, użyj polecenia Get-AzDenyAssignment.

Get-AzDenyAssignment -ResourceGroupName <resource_group_name>

Lista przypisań odmowy na poziomie subskrypcji

Aby wylistować wszystkie przypisania odmowy w obszarze subskrypcji, użyj polecenia Get-AzDenyAssignment. Aby uzyskać identyfikator subskrypcji, możesz go znaleźć na stronie Subskrypcje w witrynie Azure Portal lub możesz użyć polecenia Get-AzSubscription.

Get-AzDenyAssignment -Scope /subscriptions/<subscription_id>

Wymagania wstępne

Aby uzyskać informacje o przypisaniu odmowy, musisz mieć następujące elementy:

Microsoft.Authorization/denyAssignments/read uprawnienie, które jest uwzględniane w większości wbudowanych ról platformy Azure.

Należy użyć następującej wersji:

2018-07-01-preview lub później
2022-04-01 jest pierwszą stabilną wersją

Wymień pojedyncze przypisanie odmowy

Aby wyświetlić pojedyncze przypisanie odmowy, użyj Deny Assignments - Get interfejsu API REST.

Zacznij od następującego żądania:

GET https://management.azure.com/{scope}/providers/Microsoft.Authorization/denyAssignments/{deny-assignment-id}?api-version=2022-04-01

W identyfikatorze URI zastąp {scope} zakresem, dla którego chcesz wyświetlić przypisania odmowy.

Scope	Typ
`subscriptions/{subscriptionId}`	Subskrypcja
`subscriptions/{subscriptionId}/resourceGroups/myresourcegroup1`	Grupa zasobów
`subscriptions/{subscriptionId}/resourceGroups/myresourcegroup1/providers/Microsoft.Web/sites/mysite1`	Zasób

Zastąp {deny-assignment-id} identyfikatorem przypisania odmowy, który chcesz pobrać.

Wyświetlanie listy wielu przypisań odmowy

Aby wyświetlić listę wielu przypisań odmowy, użyj REST API Deny Assignments - List.

Zacznij od jednego z następujących żądań:

GET https://management.azure.com/{scope}/providers/Microsoft.Authorization/denyAssignments?api-version=2022-04-01

Z opcjonalnymi parametrami:

GET https://management.azure.com/{scope}/providers/Microsoft.Authorization/denyAssignments?api-version=2022-04-01&$filter={filter}

W identyfikatorze URI zastąp {scope} zakresem, dla którego chcesz wyświetlić przypisania odmowy.

Scope	Typ
`subscriptions/{subscriptionId}`	Subskrypcja
`subscriptions/{subscriptionId}/resourceGroups/myresourcegroup1`	Grupa zasobów
`subscriptions/{subscriptionId}/resourceGroups/myresourcegroup1/providers/Microsoft.Web/sites/mysite1`	Zasób

Zastąp {filter} warunkiem, który chcesz zastosować, aby filtrować listę odmownych przypisań.

Filtr	Opis
(brak filtru)	Wyświetla listę wszystkich przypisań odmowy powyżej i poniżej określonego zakresu.
`$filter=atScope()`	Wyświetla listę przypisań odmowy tylko dla określonego zakresu i powyżej. Nie obejmuje odmownych przypisań w podzakresach.
`$filter=assignedTo('{objectId}')`	Wyświetla listę przypisań odmowy dla określonego użytkownika lub jednostki usługi. Jeśli użytkownik jest członkiem grupy, która ma odmowę dostępu, odmowa dostępu jest również wyświetlana. Ten filtr jest przechodni dla grup, co oznacza, że jeśli użytkownik jest członkiem grupy, a ta grupa jest członkiem innej grupy, która ma przypisanie odmowy, przypisanie odmowy również zostanie uwzględnione. Ten filtr akceptuje tylko identyfikator obiektu dla użytkownika lub jednostki usługi. Nie można przekazać identyfikatora obiektu dla grupy.
`$filter=atScope()+and+assignedTo('{objectId}')`	Wyświetla przypisania odmowy dla określonego użytkownika lub określonej jednostki usługi w określonym zakresie.
`$filter=denyAssignmentName+eq+'{deny-assignment-name}'`	Wyświetla listę przypisań odmowy o określonej nazwie.
`$filter=principalId+eq+'{objectId}'`	Wyświetla listę przypisań odmowy dla określonego użytkownika, grupy lub jednostki usługi.

Wyświetlanie listy przypisań odmowy w zakresie głównym (/)

Podnieś poziom dostępu zgodnie z opisem w temacie Podnoszenie poziomu dostępu w celu zarządzania wszystkimi subskrypcjami platformy Azure i grupami zarządzania.

Użyj następującego żądania:

GET https://management.azure.com/providers/Microsoft.Authorization/denyAssignments?api-version=2022-04-01&$filter={filter}

Zastąp {filter} warunkiem, który chcesz zastosować, aby filtrować listę odmownych przypisań. Wymagany jest filtr.

Filtr	Opis
`$filter=atScope()`	Wyświetlanie listy przypisań odmowy tylko dla zakresu głównego. Nie obejmuje odmownych przypisań w podzakresach.
`$filter=denyAssignmentName+eq+'{deny-assignment-name}'`	Wyświetl listę przypisań odmowy z określoną nazwą.

Usuwanie podniesionych poziomów uprawnień dostępu.

Następne kroki

Stosy wdrażania

Opinia

Czy ta strona była pomocna?

Ostatnia aktualizacja o 2026-10-08

Wyświetlanie listy przypisań odmowy platformy Azure

Jak tworzone są polecenia odmowy

Porównanie przypisań ról i odmów przypisań

Odmów właściwości przypisania

Główny dyrektor wszystkich dyrektorów

Lista odmowy przypisań

Wymagania wstępne

Wyświetl listę przypisań odmowy w portalu Azure

Wyszczególnij szczegóły dotyczące przypisania odmowy

Następne kroki

Opinia

Dodatkowe zasoby