Gerenciar permissões de função e segurança na Automação do Azure

O controle de acesso baseado em função do Azure (Azure RBAC) habilita o gerenciamento de acesso para recursos do Azure. Usando o RBAC do Azure, você pode segregar tarefas dentro de sua equipe e conceder apenas a quantidade de acesso a usuários, grupos e aplicativos de que eles precisam para executar seus trabalhos. Pode conceder o acesso baseado em funções aos utilizadores através do portal do Azure, das ferramentas de Linha de Comandos do Azure ou de APIs de Gestão do Azure.

Funções em contas de automação

Na Automatização do Azure, é concedido acesso ao atribuir a função do Azure adequada aos utilizadores, grupos e aplicações no âmbito da conta de Automatização. Seguem-se as funções incorporadas suportadas por uma conta de Automatização:

Permissões de função

As tabelas a seguir descrevem as permissões específicas dadas a cada função. Isto pode incluir Ações, que concedem permissões, e Ações Não, que as restringem.

Proprietário

Um Proprietário pode gerir tudo, incluindo o acesso. A tabela seguinte mostra as permissões concedidas para a função:

Contribuidor

Um Contribuidor pode gerir tudo, exceto o acesso. A tabela seguinte mostra as permissões concedidas e negadas para a função:

Leitor

Um Leitor pode ver todos os recursos numa conta de Automatização, mas não pode efetuar quaisquer alterações.

Colaborador de automação

Um Contribuidor de Automatização pode gerir todos os recursos da conta de Automatização, exceto o acesso. A tabela seguinte mostra as permissões concedidas para a função:

Operador de Automação

Um Operador de Automatização pode criar e gerir tarefas e ler os nomes e as propriedades de todos os runbooks numa conta de Automatização.

A tabela seguinte mostra as permissões concedidas para a função:

Operador de Automação

Uma função de Operador de Tarefas de Automatização é concedida no âmbito da conta de Automatização. Isto permite que o operador tenha permissões para criar e gerir tarefas para todos os runbooks na conta. Se a função Operador de Tarefas tiver permissões de leitura no grupo de recursos que contém a conta de Automatização, os membros da função têm a capacidade de iniciar runbooks. No entanto, não têm a capacidade de os criar, editar ou eliminar.

A tabela seguinte mostra as permissões concedidas para a função:

Operador de Runbook Automatizado

Uma função de Operador de Runbook de Automatização é concedida no âmbito do Runbook. Um Operador de Runbook de Automatização pode ver o nome e as propriedades do runbook. Essa função combinada com a função Operador de Trabalho de Automação permite que o operador também crie e gerencie trabalhos para o runbook. A tabela seguinte mostra as permissões concedidas para a função:

Contribuidor do Log Analytics

Um Colaborador do Log Analytics pode ler todos os dados de monitoramento e editar as configurações de monitoramento. A edição de configurações de monitoramento inclui a adição da extensão VM às VMs; leitura de chaves de conta de armazenamento para poder configurar a coleção de logs do Armazenamento do Azure; criação e configuração de contas de automação; adição de funcionalidades; e configurar o diagnóstico do Azure em todos os recursos do Azure. A tabela seguinte mostra as permissões concedidas para a função:

Leitor de Log Analytics

Um Leitor do Log Analytics pode exibir e pesquisar todos os dados de monitoramento, bem como e exibir as configurações de monitoramento, incluindo a exibição da configuração do diagnóstico do Azure em todos os recursos do Azure. A tabela a seguir mostra as permissões concedidas ou negadas para a função:

Contribuidor de Monitorização

Um Colaborador de Monitoramento pode ler todos os dados de monitoramento e atualizar as configurações de monitoramento. A tabela seguinte mostra as permissões concedidas para a função:

Leitor de Monitorização

Um leitor de monitoramento pode ler todos os dados de monitoramento. A tabela seguinte mostra as permissões concedidas para a função:

Administrador de Acesso de Usuário

Um Administrador de Acesso do Utilizador pode gerir o acesso dos utilizadores aos recursos do Azure. A tabela seguinte mostra as permissões concedidas para a função:

Permissões do acesso da função Leitor

A função de Leitor Incorporado na Conta de Automatização não pode usar o API – GET /AUTOMATIONACCOUNTS/AGENTREGISTRATIONINFORMATION para buscar as chaves da Conta de Automatização. Trata-se de uma operação com privilégios elevados que fornece informações confidenciais que podem representar um risco de segurança de um agente malicioso indesejado com privilégios reduzidos, que pode obter acesso a chaves de contas de automatização e realizar ações com um nível de privilégio elevado.

Para acessar o API – GET /AUTOMATIONACCOUNTS/AGENTREGISTRATIONINFORMATION, recomendamos que mude para as funções integradas, como Proprietário, Colaborador ou Colaborador de Automação, para aceder às chaves da conta de Automação. Essas funções, por padrão, terão a permissão listKeys . Como melhor prática, recomendamos que crie uma função personalizada com permissões limitadas para aceder às chaves da conta de Automatização. Para uma função personalizada, você precisa adicionar Microsoft.Automation/automationAccounts/listKeys/action permissão à definição de função. Saiba mais sobre como criar uma função personalizada a partir do portal do Azure.

Permissões de configuração de recursos

As seções a seguir descrevem as permissões mínimas necessárias necessárias para habilitar os recursos Gerenciamento de Atualizações e Controle de Alterações e Inventário.

Permissões para habilitar o Gerenciamento de Atualizações e o Controle de Alterações e o Inventário de uma VM

¹ Essa permissão é necessária para habilitar recursos por meio da experiência do portal da VM.

Permissões para habilitar o Gerenciamento de Atualizações e o Controle de Alterações e o Inventário de uma conta de Automação

Gerenciar permissões de função para grupos de trabalhadores híbridos e trabalhadores híbridos

Você pode criar funções personalizadas do Azure em Automação e conceder as seguintes permissões para Grupos de Trabalhadores Híbridos e Trabalhadores Híbridos:

• Operador de Runbook Híbrido que usa Extensões

Configurar o RBAC do Azure para sua conta de automação

A seção a seguir mostra como configurar o RBAC do Azure em sua conta de Automação por meio do portal do Azure e do PowerShell.

Configurar o RBAC do Azure usando o portal do Azure

1. Entre no portal do Azure e abra sua conta de Automação na página Contas de Automação .

2. Selecione Controle de acesso (IAM) e selecione uma função na lista de funções disponíveis. Você pode escolher qualquer uma das funções internas disponíveis que uma conta de automação suporta ou qualquer função personalizada que você possa ter definido. Atribua a função a um usuário ao qual você deseja conceder permissões.

   Para obter etapas detalhadas, consulte Atribuir funções do Azure usando o portal do Azure.

   Observação

   Você só pode definir o controle de acesso baseado em função no escopo da conta de Automação e não em qualquer recurso abaixo da conta de Automação.

Remover atribuições de função de um usuário

Você pode remover a permissão de acesso para um usuário que não esteja gerenciando a conta de Automação ou que não trabalhe mais para a organização. As etapas a seguir mostram como remover as atribuições de função de um usuário. Para obter etapas detalhadas, consulte Remover atribuições de função do Azure:

1. Abra o controle de acesso (IAM) num escopo, como grupo de gestão, assinatura, grupo de recursos ou recurso, onde pretende remover o acesso.

2. Selecione a guia Atribuições de função para exibir todas as atribuições de função neste escopo.

3. Na lista de atribuições de função, adicione uma marca de seleção ao lado do usuário com a atribuição de função que você deseja remover.

4. Selecione Remover.

   

Configurar o RBAC do Azure usando o PowerShell

Você também pode configurar o acesso baseado em função a uma conta de Automação usando os seguintes cmdlets do Azure PowerShell:

Get-AzRoleDefinition lista todas as funções do Azure que estão disponíveis no Microsoft Entra ID. Você pode usar esse cmdlet com o Name parâmetro para listar todas as ações que uma função específica pode executar.

Get-AzRoleDefinition -Name 'Automation Operator'

A seguir está o exemplo de resultado:

Name             : Automation Operator
Id               : d3881f73-407a-4167-8283-e981cbba0404
IsCustom         : False
Description      : Automation Operators are able to start, stop, suspend, and resume jobs
Actions          : {Microsoft.Authorization/*/read, Microsoft.Automation/automationAccounts/jobs/read, Microsoft.Automation/automationAccounts/jobs/resume/action,
                   Microsoft.Automation/automationAccounts/jobs/stop/action...}
NotActions       : {}
AssignableScopes : {/}

Get-AzRoleAssignment lista as atribuições de função do Azure no escopo especificado. Sem parâmetros, esse cmdlet retorna todas as atribuições de função feitas na assinatura. Use o ExpandPrincipalGroups parâmetro para listar atribuições de acesso para o usuário especificado, bem como os grupos aos quais o usuário pertence.

Exemplo: Use o cmdlet a seguir para listar todos os usuários e suas funções em uma conta de automação.

Get-AzRoleAssignment -Scope '/subscriptions/<SubscriptionID>/resourcegroups/<Resource Group Name>/Providers/Microsoft.Automation/automationAccounts/<Automation account name>'

A seguir está o exemplo de resultado:

RoleAssignmentId   : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroup/providers/Microsoft.Automation/automationAccounts/myAutomationAccount/provid
                     ers/Microsoft.Authorization/roleAssignments/00000000-0000-0000-0000-000000000000
Scope              : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroup/providers/Microsoft.Automation/automationAccounts/myAutomationAccount
DisplayName        : admin@contoso.com
SignInName         : admin@contoso.com
RoleDefinitionName : Automation Operator
RoleDefinitionId   : d3881f73-407a-4167-8283-e981cbba0404
ObjectId           : aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
ObjectType         : User

Use New-AzRoleAssignment para atribuir acesso a usuários, grupos e aplicativos a um escopo específico.

Exemplo: Use o comando a seguir para atribuir a função "Operador de automação" para um usuário no escopo da conta de automação.

New-AzRoleAssignment -SignInName <sign-in Id of a user you wish to grant access> -RoleDefinitionName 'Automation operator' -Scope '/subscriptions/<SubscriptionID>/resourcegroups/<Resource Group Name>/Providers/Microsoft.Automation/automationAccounts/<Automation account name>'

A seguir está o exemplo de resultado:

RoleAssignmentId   : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/myResourceGroup/Providers/Microsoft.Automation/automationAccounts/myAutomationAccount/provid
                     ers/Microsoft.Authorization/roleAssignments/00000000-0000-0000-0000-000000000000
Scope              : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/myResourceGroup/Providers/Microsoft.Automation/automationAccounts/myAutomationAccount
DisplayName        : admin@contoso.com
SignInName         : admin@contoso.com
RoleDefinitionName : Automation Operator
RoleDefinitionId   : d3881f73-407a-4167-8283-e981cbba0404
ObjectId           : bbbbbbbb-1111-2222-3333-cccccccccccc
ObjectType         : User

Use Remove-AzRoleAssignment para remover o acesso de um usuário, grupo ou aplicativo especificado de um escopo específico.

Exemplo: Use o comando a seguir para remover o usuário da função Operador de Automação no escopo da conta de Automação.

Remove-AzRoleAssignment -SignInName <sign-in Id of a user you wish to remove> -RoleDefinitionName 'Automation Operator' -Scope '/subscriptions/<SubscriptionID>/resourcegroups/<Resource Group Name>/Providers/Microsoft.Automation/automationAccounts/<Automation account name>'

No exemplo anterior, substitua sign-in ID of a user you wish to remove, SubscriptionID, Resource Group Namee Automation account name pelos detalhes da sua conta. Escolha sim quando solicitado a confirmar antes de continuar a remover as atribuições de função de usuário.

Experiência do usuário para a função de Operador de Automação - Conta de automação

Quando um utilizador atribuído à função de Operador de Automação no âmbito da conta de Automação visualiza a conta de Automação à qual está atribuído, pode apenas ver a lista de sequências de comandos, processos de runbook e calendários criados na conta de Automação. Esse usuário não pode exibir as definições desses itens. O utilizador pode iniciar, parar, suspender, retomar ou agendar a tarefa de runbook. No entanto, o utilizador não tem acesso a outros recursos de automação, tais como configurações, grupos de trabalho de livros de execução híbridos ou nós DSC.

Configurar o RBAC do Azure para runbooks

A Automação do Azure permite atribuir funções do Azure a runbooks específicos. Para fazer isso, execute o seguinte script para adicionar um usuário a um runbook específico. Um administrador de conta de automação ou um administrador de locatário pode executar esse script.

$rgName = "<Resource Group Name>" # Resource Group name for the Automation account
$automationAccountName ="<Automation account name>" # Name of the Automation account
$rbName = "<Name of Runbook>" # Name of the runbook
$userId = "<User ObjectId>" # Azure Active Directory (AAD) user's ObjectId from the directory

# Gets the Automation account resource
$aa = Get-AzResource -ResourceGroupName $rgName -ResourceType "Microsoft.Automation/automationAccounts" -ResourceName $automationAccountName

# Get the Runbook resource
$rb = Get-AzResource -ResourceGroupName $rgName -ResourceType "Microsoft.Automation/automationAccounts/runbooks" -ResourceName "$rbName"

# The Automation Job Operator role only needs to be run once per user.
New-AzRoleAssignment -ObjectId $userId -RoleDefinitionName "Automation Job Operator" -Scope $aa.ResourceId

# Adds the user to the Automation Runbook Operator role to the Runbook scope
New-AzRoleAssignment -ObjectId $userId -RoleDefinitionName "Automation Runbook Operator" -Scope $rb.ResourceId

Depois que o script for executado, peça ao usuário que entre no portal do Azure e selecione Todos os Recursos. Na lista, o utilizador pode ver o runbook para o qual ele ou ela foi adicionado como Operador de Runbook de Automação.

Experiência do usuário para a função de operador de automação - Runbook

Quando um utilizador atribuído à função de Operador de Automação no âmbito do Runbook visualiza um runbook atribuído, o utilizador apenas pode iniciar o runbook e ver os trabalhos do runbook.

Próximos passos

• Para saber mais sobre as diretrizes de segurança, consulte Práticas recomendadas de segurança na Automação do Azure.
• Para saber mais sobre o RBAC do Azure usando o PowerShell, consulte Adicionar ou remover atribuições de função do Azure usando o Azure PowerShell.
• Para obter detalhes dos tipos de runbooks, consulte Tipos de runbook de Automação do Azure.
• Para iniciar um runbook, consulte Iniciar um runbook na Automação do Azure.