Partager via

Déléguer la gestion des attributions de rôles Azure à d’autres personnes avec des conditions

En tant qu’administrateur, vous pouvez recevoir plusieurs demandes d’octroi d’accès aux ressources Azure que vous souhaitez déléguer à quelqu’un d’autre. Vous pouvez affecter un utilisateur aux rôles Propriétaire ou Administrateur de l’accès utilisateur , mais il s’agit de rôles hautement privilégiés. Cet article décrit un moyen plus sécurisé de déléguer la gestion des attributions de rôles à d’autres utilisateurs de votre organisation, mais ajoute des restrictions pour ces attributions de rôles. Par exemple, vous pouvez limiter les rôles qui peuvent être attribués ou limiter les principaux auxquels les rôles peuvent être attribués.

Le diagramme suivant montre comment un délégué avec des conditions ne peut affecter que les rôles Contributeur de sauvegarde ou Lecteur de sauvegarde aux seuls groupes Marketing ou Ventes.

Diagramme montrant un administrateur qui délègue la gestion des attributions de rôle avec des conditions.

Prerequisites

Pour attribuer des rôles Azure, vous devez disposer de :

Étape 1 : Déterminer les autorisations dont le délégué a besoin

Pour déterminer les autorisations dont le délégué a besoin, répondez aux questions suivantes :

  • Quels rôles le délégué peut-il attribuer ?
  • À quels types de principaux le délégué peut-il attribuer des rôles ?
  • À quels principaux le délégué peut-il attribuer des rôles ?
  • Le délégué peut-il supprimer des attributions de rôle ?

Une fois que vous connaissez les autorisations dont le délégué a besoin, vous utilisez les étapes suivantes pour ajouter une condition à l’attribution de rôle du délégué. Pour obtenir des exemples de conditions, consultez Exemples pour déléguer la gestion des attributions de rôle Azure avec des conditions.

Étape 2 : Démarrer une nouvelle attribution de rôle

  1. Connectez-vous au portail Azure.

  2. Suivez les étapes pour ouvrir la page Ajouter une attribution de rôle.

  3. Sous l’onglet Rôles , sélectionnez l’onglet Rôles d’administrateur privilégié .

  4. Sélectionnez le rôle Administrateur du contrôle d'accès basé sur les rôles.

    L’onglet Conditions s’affiche.

    Vous pouvez sélectionner n’importe quel rôle qui inclut les actions Microsoft.Authorization/roleAssignments/write ou Microsoft.Authorization/roleAssignments/delete, telles que Administrateur de l'accès utilisateur, mais Administrateur des Rôles Basés sur le Contrôle d'Accès a moins d’autorisations.

  5. Sous l’onglet Membres , recherchez et sélectionnez le délégué.

Étape 3 : Ajouter une condition

Il existe deux façons d’ajouter une condition. Vous pouvez utiliser un modèle de condition ou utiliser un éditeur de condition avancé.

  1. Sous l’onglet Conditions, sous Ce que l’utilisateur peut faire, sélectionnez l’option Autoriser l’utilisateur à attribuer uniquement des rôles sélectionnés aux principaux sélectionnés (moins de privilèges).

    Capture d’écran de l’ajout d’une attribution de rôle avec l’option contrainte sélectionnée.

  2. Sélectionnez Sélectionner des rôles et des principaux.

    La page Ajouter une condition d’attribution de rôle s’affiche avec une liste de modèles de condition.

    Capture d’écran de la condition Ajouter une attribution de rôle avec une liste de modèles de conditions.

  3. Sélectionnez un modèle de condition, puis sélectionnez Configurer.

    Modèle de condition Sélectionnez ce modèle pour
    Limiter les rôles Autoriser l’utilisateur à attribuer uniquement des rôles que vous sélectionnez
    Limiter les rôles et les types principaux Autoriser l’utilisateur à attribuer uniquement des rôles que vous sélectionnez
    Autoriser l’utilisateur à attribuer uniquement ces rôles aux types principaux que vous sélectionnez (utilisateurs, groupes ou principaux de service)
    Limiter les rôles et les principaux Autoriser l’utilisateur à attribuer uniquement des rôles que vous sélectionnez
    Autoriser l’utilisateur à attribuer uniquement ces rôles aux principaux que vous sélectionnez
    Autoriser tous sauf certains rôles spécifiques Autoriser l’utilisateur à attribuer tous les rôles à l’exception des rôles que vous sélectionnez

  4. Dans le volet de configuration, ajoutez les configurations requises.

    Capture d’écran du volet Configurer pour une condition avec la sélection ajoutée.

  5. Sélectionnez Enregistrer pour ajouter la condition à l’attribution de rôle.

Étape 4 : Attribuer un rôle avec une condition pour déléguer

  1. Sous l’onglet Vérifier + attribuer, vérifiez les paramètres d’attribution de rôle.

  2. Sélectionnez Vérifier + attribuer pour attribuer le rôle.

    Après quelques instants, le délégué reçoit le rôle Administrateur de contrôle d’accès en fonction du rôle avec vos conditions d’attribution de rôle.

Étape 5 : Le délégué attribue des rôles avec des conditions

  • Le délégué peut désormais suivre les étapes permettant d’attribuer des rôles.

    Diagramme des attributions de rôles contraintes à des rôles spécifiques et à des groupes spécifiques.

    Lorsque le délégué tente d’attribuer des rôles dans le portail Azure, la liste des rôles est filtrée pour afficher simplement les rôles qu’ils peuvent attribuer.

    Capture d’écran des attributions de rôles limitées à des rôles spécifiques.

    S’il existe une condition pour les acteurs principaux, la liste des acteurs principaux disponibles pour être affectés est également filtrée.

    Capture d’écran des attributions de rôles contraintes à des groupes spécifiques.

    Si le délégué tente d’attribuer un rôle qui se trouve en dehors des conditions à l’aide d’une API, l’attribution de rôle échoue avec une erreur. Pour plus d’informations, consultez Symptôme - Impossible d’attribuer un rôle.

Modifier une condition

Il existe deux façons de modifier une condition. Vous pouvez utiliser le modèle de condition ou utiliser l’éditeur de condition.

  1. Dans le portail Azure, ouvrez la page Contrôle d’accès (IAM) pour l’attribution de rôle qui a une condition que vous souhaitez afficher, modifier ou supprimer.

  2. Sélectionnez l’onglet Attributions de rôles et recherchez l’attribution de rôle.

  3. Dans la colonne Condition , sélectionnez Afficher/Modifier.

    Si vous ne voyez pas le lien Affichage/Modification , vérifiez que vous examinez la même étendue que l’attribution de rôle.

    Capture d’écran de la liste des attributions de rôle avec le lien Afficher/Modifier pour condition.

    La page Ajouter une condition d’attribution de rôle s’affiche. Cette page est différente selon que la condition correspond à un modèle existant.

  4. Si la condition correspond à un modèle existant, sélectionnez Configurer pour modifier la condition.

    Capture d’écran des modèles de condition avec le modèle correspondant activé.

  5. Si la condition ne correspond pas à un modèle existant, utilisez l’éditeur de condition avancé pour modifier la condition.

    Par exemple, pour modifier une condition, faites défiler jusqu’à la section d’expression de build et mettez à jour les attributs, l’opérateur ou les valeurs.

    Capture d’écran de l’éditeur de condition montrant les options permettant de modifier l’expression de build.

    Pour modifier la condition directement, sélectionnez le type de l’éditeur de code, puis modifiez le code de la condition.

    Capture d’écran de l’éditeur de condition montrant le type de l’éditeur de code.

  6. Lorsque vous avez terminé, cliquez sur Enregistrer pour mettre à jour la condition.

Étapes suivantes

  • Last updated on