Pokud často pracujete s grafickým rozhraním Windows Azure, konkrétně s původním portálem https://manage.windowsazure.com ,nebo i s „Azure PowerShellem“, pak dříve nebo později jste mohly narazit na problém související s delegováním práv pro zprávu Windows Azure subskripce na jiného uživatele či správce. Původní Windows Azure portál totiž dovoluje přidat pouze jednu úroveň oprávnění a tím je „Co-administrator“. Ten má v podstatě takřka totožné práva jako „Service administrator“ a tedy může dělat vše. Klidně i smazat všechna produkční data! Níže na obrázku pak vidíte ukázku definovaných práv v původním Windows Azure portálu.

Nicméně mnozí z vás jistě znáte i jiné produkty firmy Microsoft, jako je například rodinu produktů Systém Center. Pro příklad si vezmeme Virtual Machine Manager 2012 R2. Ten slouží ke komplexní administraci on-premise virtuálního prostředí. A právě například tento produkt podporuje tzv. RBAC. Tedy přesněji řečenoRole-Based Access Control. Velmi obecně řečeno umožnuje RBAC definovat role. Pak na základě této role lze říci, jaká specifická práva ke konkrétním zdrojům v daném prostředí budou mít, nebo nebudou mít uživatele, nebo skupiny. A těmito zdroji mohou být například: virtuální stroje, diskové kapacity, virtuální sítě apod. Na obrázku pak vidíte příklad definice role ve Virtual Machine Manageru 2012 R2.

A Windows Azure není výjimkou. I zde chcete mít možnost řídit Přístup k jednotlivých zdrojům. A právě proto, zakomponovala firma Microsoft „RBAC“ i do prostředí Windows Azure. Obrovským přínosem RBAC v případě Windows Azure je ta skutečnost, že nyní můžete například pro váš vývojový tým přesně vydefinovat jejich práva na zdroje ve Windows Azure a to aniž byste ohrozily produkční data/zdroje. Poznámka: RBAC je možné nastavit jen v novém preview portálu na adrese http://portal.azure.com Nicméně jak si dále ukážeme, lze RBAC aplikovat i na zdroje vytvořené v původním portálu.

Jak na to? Nejprve musíte mít k dispozici účty, nebo skupiny, kterým pak přiřazujete konkrétní role, na konkrétní zdroje. Těmito účty mohou být například účty z jiné Azure Active Directory, a to například z Office 365, nebo to pak mohou být účty založené v interní Azure Active Directory, která je automaticky součástí každé Windows Azure Subskripce. V tomto článku si ukážeme, jak vytvořit účty ve výchozí interní Azure Active Directory s názvem „Default Directory“. Poznámka: Ve výchozím stavu má právo vytvářet a editovat objekty v „Default Directory“ pouze „Service administrator“! Nicméně je zde možné delegovat práva na jiného uživatele. Dále je důležité vědět, že administrace Azure Active Directory je aktuálně možná pouze z původního portálu https://manage.windowsazure.com Nejprve se přihlásíme se do původního portálu a přejdeme v pravém menu na položku „Active Directory“. V horním menu vybereme položku „DIRECTORY“ a následně klikneme na položku „Default Directory“

Zde se pak dostáváme do samotného administrativního rozhranní konkrétní Azure Active Directory. V horním menu vybereme položku „USERS“ a ve spodní části klikneme na tlačítko „ADD USER“

Dojde ke spuštění průvodce přidaním nového účtu v “Default Directory”. U první volby, jak jsem již dříve naznačil, je možné vybrat, typ uživatele. Tedy uživatelský účet může být existující účet Microsoft (např. uzivatel@outlook.cz), nebo třeba účet z jiného Azure Active Directory. V našem případě zvolíme možnost „New user in your organization“

V poli „USER NAME“ pak vyplňte přihlašovací jméno nového uživatele. Za „USER NAME“ následuje sufix, definující společně plné přihlašovací jméno. Je důležité vědět, že přihlášení probíhá pomocí plného přihlašovacího jména. V tomto případě je plným přihlašovacím jménem:managevm**@heinzjakuboutlook.onmicrosoft.com Nejspíše se shodneme na tom, že přihlašovat se pomocí tak dlouhého jména není příliš uživatelsky přívětivé. Proto si na konci článku ukážeme, jak přidat další doménu, a to konkrétně doménu „azurecloudservice.net“. A umožníme tak uživateli „managevm“ se přihlásit k portálu plným přihlašovacím jménem:managevm@azurecloudservice.net** Pro pokračováni v průvodci klikněte na šipku v dolní části okna průvodce.

Na další kartě je pak možné vyplnit dodatečné údaje, jako jsou například: Jméno, Příjmení, Zobrazované jméno. Ale především je pak možné definovat roli uživatele v rámci dané Azure Active Directory. Tedy kupříkladu, pokud uživateli přiřadíte roli “User Admin”, bude moci tento uživatel kupříkladu vytvářet účty v konkrétní Azure Active Directory. V tomto případě v “Default Directory”. Upozornění: Neplést si tyto role s RBAC. Samotný RBAC bude popsán až později v článku. Tyto role čistě souvisejí jen s Azure Active Directory.

Vyplnily jsme údaje a uživateli a přiřadily mu Azure AD roli “User”. Poznámka: Popis „MULTI-FACTOR AUTHENTICATION“ je mimo rozsah tohoto článku. Pro pokračováni v průvodci klikněte na šipku v dolní části okna průvodce.

Dostáváme se na třetí a poslední záložku, kde je možné vygenerovat pomocí tlačítka “create” dočasné heslo, které bude pak použito pro první přihlášení k tomuto nově vytvořenému Azure AD účtu.

Dojde tedy k vygenerování dočasného hesla, které si zkopírujte! Dokončete vytvoření účtu pomocí tlačítka ve spodní části průvodce.

Výsledkem je vytvoření Azure AD účtu.

Upozornění: Jelikož původní portál nepodporuje RBAC, je nutné se pomocí nového účtu přihlásit do nového portálu https://portal.azure.com Poté jste vyzvání k zadání přihlašovacích údajů. Vyplňte tedy přihlašovací jméno a jako heslo použijte dočasné generované heslo. A klikněte na tlačítko „Přihlásit se“ (V anglické verzi jiný název).

Jste vyzváni ke změně hesla. Po zadání nového hesla (poslední dvě pole) klikněte na tlačítko “Aktualizovat heslo a přihlásit se” (V anglické verzi jiný název).

Nyní by mělo dojít k úspěšnemu přihlášení do nového portálu Windows Azure.

Jak je v detailu vidět, došlo k úspěšnému přihlášení pomocí nově vytvořeného uživatele „managevm“.

Ovšem po přihlášení je patrné, že tento uživatel nemá žádná práva a v novém portálu uživatel neuvidí žádné zdroje a nemůže rovněž provádět žádné operace! Zde pro ukázku se uživatel „managevm“ pokusil zobrazit seznam virtuálních počítačů. Poznámka: Popisy jednotlivých položek závisí na jazykové verzi, kterou zvolíte v rámci nastavení nového portálu Windows Azure. V tomto případě vidíte popisky a názvy v českém jazyce.

Nastavení RBAC Pro ukázku nastavení RBAC, tedy definování role a tím i práv na konkrétní zdroje jsem se přesunul do nového portálu. Zde jsem přihlášen pomocí uživatele, který má právaService Administrator. V rozhraní nového portálu jsem pak vybral zobrazení všech Virtuálních strojů a to klasických virtuálních strojů. Poznámka: Klasické virtuální stroje jsou virtuální stroje první generace. Tedy všechny virtuální stroje vytvořené v rámci původního portálu https://manage.windowsazure.com jsou to virtuální stroje první generace. V novém portálu pak vyberu virtuální stroj, u kterého provedu přidělení role/práv pro nově vytvořeného uživatele „managevm“ v interní Azure AD s názvem „Default Directory“.

Po vybrání stroje jsem vybral položku “All Settings”. Na záložceSettings pak „Users“ a na záložce „Users“ jsem kliknul na tlačítko „Add“.

V detailu obrázku vidíte “podstatu” RBAC ve Windows Azure. V průvodci přidáním uživatele nejprve vyberu roli uživatele. Přičemž každá role představuje určitou kolekci práv, které je možné aplikovat na daný zdroj/objekt a to je v tomto případě virtuální stroj. Jinak je třeba počítat s tím, že pro různé zdroje/objekty je případně k dispozici jiná „sada“ rolí. Poznámka: Podstata základních rolí, alespoň pro virtuální stroj bude popsána dále v textu. V tomto případě jsem vybral roli „Owner“. Obecně tato role dává uživateli veškerá práva, na vybraný virtuální stroj.

A logicky po vybrání role je nutné vybrat uživatele, kterému přiřadíme roli/práva k danému zdroji/objektu. Jak je patrné z obrázku, napsal jsem plné přihlašovací jméno nově vytvořeného uživatele v Azure AD. A dále je patrné, že systém kontroly uživatele akceptoval, protože se jedná o interního uživatele, založeného v interní „Default Directory“.

Po vybrání uživatele jsem výběr potvrdil pomocí tlačítka “Select” a následně tlačítkem “OK”

Po dokončení této operace, která trvá jen malou chvíli je vidět, že uživatel má v tuto chvíli přiřazenu roli “Owner” k danému virtuálnímu stroji.

RBAC z pohledu uživatele s definovanou rolí/rolemi: Po úspěšném přiřazení role jsem se vrátil zpět do nového portálu, kde jsem byl stále přihlášen jako nově vytvořený uživatel „managevm“ a provedl jsem “refresh” pomocí tlačítka “Aktualizovat”. Poté se v seznamu virtuálních strojů zobrazil virtuální stroj, ke kterému dostal uživatel práva, díky přiřazení role.

Detail, dokazující, že jsem příhlášen jako uživatel “managevm”. Po vybrání virtuálního stroje se zobrazily možnosti/práva, které dává uživateli „managevm“ přiřazená role. Jelikož jsem mu přiřadil roliOwner, má tento uživatel veškerá práva na daný virtuální stroj. A z možností je vidět, že uživatel může virtuální stroj například: vypnout, zapnout, změnit jeho nastavení, nebo jej dokonce odstranit.

Zde je pak ukázka fungování práv, kdy jsem pod uživatelem “managevm” úspěšně vypnul virtuální stroj.

Definice základních rolí:**(virtuální stroj)