Czy administrator globalny automatycznie ma dostęp do magazynu i maszyn wirtualnych platformy Azure?

Nie. Administrator globalny zarządza poziomem katalogu (Entra ID) i nie ma automatycznie dostępu do zasobów platformy Azure, chyba że jawnie podniesie swój dostęp, używając przełącznika w portalu do zarządzania dostępem użytkowników we wszystkich subskrypcjach.

Jaka jest różnica w zakresie między rolą platformy Azure a rolą Entra ID?

Role platformy Azure są przypisywane do grup zarządzania, subskrypcji, grup zasobów lub pojedynczych zasobów. Role Entra ID są przypisywane do całej dzierżawy, jednostek administracyjnych lub konkretnych obiektów aplikacji.

Role w Azure a role w Entra ID: czego administratorzy chmury nie rozumieją

By Mirko Peters · 2026-10-29

Przestań mylić Azure RBAC z rolami Microsoft Entra. Poznaj kluczowe różnice w zakresie, uprawnieniach i administrowaniu, aby zabezpieczyć swoją chmurę.

Automatically translated with AI from the original post. Read the English original

Cover: Azure Role-Based Access Control (RBAC) - Simply Explained

Role platformy Azure i role Microsoft Entra to dwie odrębne granice autoryzacji, które często wprowadzają w błąd administratorów chmury. Zrozumienie, jak działają te oddzielne systemy uprawnień, pozwala przydzielać właściwe uprawnienia właściwym tożsamościom, bez przypadkowego nadawania nadmiernej kontroli nad infrastrukturą lub usługami katalogowymi.

Najważniejsze wnioski

Role platformy Azure kontrolują dostęp do obiektów zasobów chmury, takich jak maszyny wirtualne, konta magazynu i sieci wirtualne.
Role Microsoft Entra ID regulują uprawnienia na poziomie katalogu, takie jak udostępnianie użytkowników, tworzenie grup i przypisywanie licencji.
Administratorzy globalni nie otrzymują automatycznie pełnej kontroli nad subskrypcjami platformy Azure bez wyraźnej konfiguracji.
Zrozumienie odrębnych zakresów zapobiega katastrofalnej eskalacji uprawnień i przeoczeniom w zabezpieczeniach podczas audytów zgodności.

Podstawowy podział: zasoby kontra katalog

Gdy zaczynasz zarządzać uprawnieniami w ekosystemie chmury Microsoft, słowo „rola” pojawia się w wielu centrach administracyjnych. To nakładanie się terminologii jest najczęstszym źródłem nieporozumień wśród inżynierów, architektów i zespołów wsparcia. Najprostszy sposób, by zachować jasność, to rozdzielić to, co chcesz zmienić.

Role platformy Azure kontrolują dostęp do zasobów platformy Azure. Jeśli Twoim zadaniem jest uruchomienie maszyny wirtualnej, skonfigurowanie sieci wirtualnej, zmiana reguły zapory lub odczyt plików w kontenerze magazynu, działasz w obszarze kontroli dostępu opartej na rolach (Azure RBAC). Te uprawnienia dotyczą bezpośrednio warstwy infrastruktury i danych działających w subskrypcjach chmury.

Z kolei role Microsoft Entra kontrolują dostęp do zasobów katalogu. Jeśli Twoim zadaniem jest tworzenie nowych kont użytkowników, zmiana członkostwa w grupach, przypisywanie licencji Microsoft 365 lub resetowanie haseł, pracujesz w usłudze Microsoft Entra ID. Te działania dotyczą warstwy tożsamości organizacji, a nie warstwy obliczeniowej czy magazynowej.

Pomylenie tych dwóch systemów prowadzi do niebezpiecznych skrótów administracyjnych. Inżynier, który zakłada, że uprawnienia do katalogu dają dostęp do infrastruktury (lub odwrotnie), często poprosi o niepotrzebnie szerokie uprawnienia tylko po to, by wykonać codzienną pracę. Przypisanie zadań do właściwej płaszczyzny autoryzacji jest podstawą bezpiecznej architektury chmury.

Porównanie zakresów i granic

Granice, do których sięgają Twoje uprawnienia, różnią się zasadniczo w zależności od tego, czy pracujesz z rolą platformy Azure, czy z rolą Entra ID. Zakres określa zasięg skutków każdego błędu, popełnionego przez człowieka lub automatyzację, dlatego kluczowe jest opanowanie hierarchii obu systemów.

Zakresy ról platformy Azure

Azure RBAC działa w ściśle hierarchicznym modelu zakresów. Przypisując rolę w platformie Azure, stosujesz ją na jednym z czterech określonych poziomów:

Grupa zarządzania: najszerszy poziom kontenera, stosujący uprawnienia w wielu subskrypcjach.
Subskrypcja: granica dla rozliczeń, zarządzania i zbioru powiązanych usług.
Grupa zasobów: logiczny folder zawierający konkretne zasoby dla projektu lub środowiska.
Zasób: najwęższy poziom, obejmujący pojedynczą maszynę wirtualną, konto magazynu lub bazę danych.

Uprawnienia przypisane na wyższym poziomie dziedziczą się w dół. Jeśli przypiszesz rolę czytelnika na poziomie grupy zarządzania, dana tożsamość zobaczy każdy zasób w każdej subskrypcji zagnieżdżonej w tej grupie.

Zakresy ról Entra ID

Role Microsoft Entra nie podążają za hierarchią zasobów Azure. Przypisuje się je na poziomie dzierżawy, w ramach jednostek administracyjnych lub do pojedynczych obiektów, na przykład zarejestrowanej aplikacji przedsiębiorstwa. Nie można przypisać roli Entra ID do grupy zasobów ani maszyny wirtualnej, ponieważ te obiekty nie istnieją w katalogu w taki sam sposób.

Mit i rzeczywistość globalnego administratora

Jednym z najbardziej uporczywych błędnych przekonań w administrowaniu chmurą jest przekonanie, że posiadanie roli globalnego administratora w Microsoft Entra daje nieograniczoną kontrolę nad każdą subskrypcją i każdym zasobem w środowisku Azure. Tak nie jest.

Ponieważ zasoby Azure i obiekty katalogu Entra są zarządzane przez oddzielne systemy autoryzacji, świeżo utworzony globalny administrator nie może automatycznie wyświetlać ani zarządzać maszynami wirtualnymi działającymi w subskrypcji, dopóki nie zostanie podjęte wyraźne działanie. Globalny administrator ma jednak unikalną możliwość podniesienia własnych uprawnień. Przełączając określony przełącznik zarządzania dostępem w portalu Azure, może przydzielić sobie rolę Administrator dostępu użytkowników we wszystkich subskrypcjach w dzierżawie.

Ten mechanizm chroni przed przypadkowym zniszczeniem infrastruktury, o której administrator nie wiedział, ale tworzy lukę w audycie, jeśli organizacja nie monitoruje, kto uruchomił ten przełącznik podniesienia uprawnień. Traktowanie administrowania katalogiem i administrowania zasobami Azure jako dwóch zupełnie różnych dyscyplin jest kluczowe dla utrzymania silnej postawy bezpieczeństwa.

Podsumowanie

Poruszanie się w niuansach uprawnień w chmurze wymaga uświadomienia sobie, że role Azure i role Microsoft Entra służą zupełnie różnym celom. Jeśli zmiany infrastruktury będziesz opierać na Azure RBAC, a zarządzanie tożsamością na Entra ID, wyeliminujesz niejednoznaczność, ograniczysz zasięg potencjalnych szkód i z pewnością przejdziesz audyty zgodności.

Aby dowiedzieć się więcej o tym, jak działa kontrola dostępu w chmurze Microsoft, koniecznie zapoznaj się z powiązaną dyskusją w podcaście. Posłuchaj całego odcinka, aby poznać jasne, pozbawione żargonu wskazówki, które pomogą Ci opanować architekturę chmury i praktyki bezpieczeństwa.

Często zadawane pytania

Czy globalny administrator automatycznie ma dostęp do magazynów i maszyn wirtualnych Azure?

Nie. Globalny administrator zarządza poziomem katalogu (Entra ID) i nie ma automatycznie dostępu do zasobów Azure, chyba że jawnie podniesie swoje uprawnienia za pomocą przełącznika dostępu do administrowania użytkownikami we wszystkich subskrypcjach.

Jaka jest różnica w zakresie między rolą Azure a rolą Entra ID?

Role Azure mogą być przypisane do grup zarządzania, subskrypcji, grup zasobów lub pojedynczych zasobów. Role Entra ID mają zakres obejmujący całą dzierżawę, jednostki administracyjne lub konkretne obiekty aplikacji.

Czy mogę użyć roli Entra ID do przypisania uprawnień do konkretnej maszyny wirtualnej Azure?

Nie. Role Entra ID zarządzają obiektami katalogu, takimi jak użytkownicy i aplikacje. Aby zarządzać uprawnieniami do maszyny wirtualnej lub grupy zasobów, musisz użyć kontroli dostępu opartej na rolach (Azure RBAC).

Co się dzieje z klasycznymi rolami administratora subskrypcji w Azure?

Klasyczne role administratora, takie jak Administrator konta, Administrator usługi i Współadministrator, zostały całkowicie wycofane przez firmę Microsoft. Całe nowoczesne zarządzanie dostępem odbywa się wyłącznie za pomocą Azure RBAC.