Роли Azure и роли Entra ID: в чём ошибаются облачные администраторы

By Mirko Peters · 2026-10-29

Перестаньте путать Azure RBAC с ролями Microsoft Entra. Разберитесь в ключевых различиях области действия, разрешений и администрирования, чтобы защитить ваше облако.

Automatically translated with AI from the original post. Read the English original

Роли Azure и роли Microsoft Entra представляют собой две разные границы авторизации, которые часто сбивают с толку облачных администраторов. Понимание того, как работают эти отдельные системы разрешений, помогает назначать нужные привилегии нужным идентичностям и не предоставлять по ошибке избыточный контроль над инфраструктурой или службами каталога.

Главное

• Роли Azure управляют доступом к объектам облачных ресурсов, таким как виртуальные машины, учётные записи хранения и виртуальные сети.
• Роли Microsoft Entra ID управляют разрешениями на уровне каталога, например созданием пользователей, созданием групп и назначением лицензий.
• Global Administrator не получает полный контроль над подписками Azure автоматически, без явной настройки.
• Понимание различных областей действия предотвращает катастрофическую эскалацию привилегий и упущения в безопасности во время аудитов соответствия требованиям.

Фундаментальное разделение: ресурсы и каталог

Когда вы начинаете управлять разрешениями в экосистеме облачных служб Microsoft, слово «роль» встречается в нескольких центрах администрирования. Это совпадение терминологии — самый частый источник путаницы для инженеров, архитекторов и служб поддержки. Проще всего сохранить ясность, если чётко разделять, что именно вы собираетесь менять.

Роли Azure управляют доступом к ресурсам Azure. Если ваша задача — развернуть виртуальную машину, настроить виртуальную сеть, изменить правило брандмауэра или читать файлы в контейнере хранилища, вы работаете в области Azure RBAC (управление доступом на основе ролей). Эти разрешения применяются непосредственно к инфраструктуре и уровням данных, работающим в ваших подписках облака.

С другой стороны, роли Microsoft Entra управляют доступом к ресурсам каталога. Если ваша задача — создать учётные записи пользователей, изменить членство в группах, назначить лицензии Microsoft 365 или сбросить пароли, вы работаете в Microsoft Entra ID. Эти действия затрагивают уровень идентификации вашей организации, а не уровни вычислений или хранения.

Путаница между этими двумя системами приводит к опасным административным сокращениям. Инженер, который считает, что права на каталог дают доступ к инфраструктуре (или наоборот), часто запрашивает излишне широкие разрешения, чтобы просто выполнять повседневную работу. Сопоставление задач с правильной плоскостью авторизации — основа безопасной облачной архитектуры.

Сравнение областей действия и границ

Границы того, насколько далеко простираются ваши разрешения, существенно различаются в зависимости от того, работаете ли вы с ролью Azure или с ролью Entra ID. Область действия определяет радиус поражения любой ошибки, человеческой или автоматической, поэтому критически важно освоить иерархию обеих систем.

Области действия ролей Azure

Azure RBAC работает по строго иерархической модели областей. Назначая роль в Azure, вы применяете её на одном из четырёх уровней:

• Группа управления: самый широкий уровень контейнера, применяющий разрешения сразу к нескольким подпискам.
• Подписка: граница для выставления счетов, управления и набора связанных служб.
• Группа ресурсов: логическая папка, в которой хранятся конкретные ресурсы для проекта или среды.
• Ресурс: самый узкий уровень, охватывающий одну виртуальную машину, учетную запись хранения или базу данных.

Разрешения, назначенные на родительском уровне, наследуются вниз. Если назначить роль «Читатель» на уровне группы управления, этот субъект сможет видеть каждый ресурс в каждой подписке, вложенной в неё.

Области действия ролей Entra ID

Роли Microsoft Entra не следуют иерархии ресурсов Azure. Вместо этого они назначаются на уровне клиента, в административных единицах или нацеливаются на отдельные объекты, например на зарегистрированное корпоративное приложение. Назначить роль Entra ID группе ресурсов или виртуальной машине нельзя, поскольку эти объекты не существуют в графе каталога так же, как в Azure.

Миф и реальность роли глобального администратора

Одно из самых живучих заблуждений в администрировании облачных сред состоит в том, что роль глобального администратора в Microsoft Entra даёт неограниченный контроль над каждой подпиской и каждым ресурсом в вашей среде Azure. Это не так.

Поскольку ресурсы Azure и объекты каталога Entra управляются разными системами авторизации, новый глобальный администратор не может автоматически просматривать или управлять виртуальными машинами в подписке, пока не будет выполнено явное действие. Однако у глобального администратора есть уникальная возможность повысить собственные привилегии. Переключив определённый параметр управления доступом в портале Azure, он может назначить себе роль «Администратор доступа пользователей» во всех подписках клиента.

Этот механизм не даёт администраторам случайно уничтожить инфраструктуру, о существовании которой они не знали, но создаёт слепую зону аудита, если организация не отслеживает, кто активировал переключатель повышения прав. Рассматривать администрирование каталога и администрирование ресурсов Azure как две совершенно разные дисциплины крайне важно для поддержания надёжной политики безопасности.

Заключение

Разобраться в тонкостях облачных разрешений можно, только признав, что роли Azure и роли Microsoft Entra служат совершенно разным задачам. Если привязать изменения инфраструктуры к Azure RBAC, а управление идентификацией к Entra ID, вы устраните неоднозначность, сократите зону поражения и уверенно пройдёте аудит соответствия требованиям.

Чтобы глубже разобраться в том, как работает управление доступом в облачных сервисах Microsoft, обязательно посмотрите связанное обсуждение в подкасте. Послушайте полный выпуск: там понятные объяснения без жаргона, которые помогут освоить архитектуру облака и практики безопасности.

Часто задаваемые вопросы

Получает ли глобальный администратор автоматически доступ к хранилищам Azure и виртуальным машинам?

Нет. Глобальный администратор управляет уровнем каталога (Entra ID) и не получает автоматически доступ к ресурсам Azure, если явно не повысит свои права с помощью переключателя управления доступом пользователей в подписках.

В чём разница в области действия роли Azure и роли Entra ID?

Роли Azure назначаются на уровне групп управления, подписок, групп ресурсов или отдельных ресурсов. Роли Entra ID действуют на уровне всего клиента, административных единиц или конкретных объектов приложений.

Можно ли использовать роль Entra ID, чтобы назначить разрешения на конкретную виртуальную машину Azure?

Нет. Роли Entra ID управляют объектами каталога, такими как пользователи и приложения. Чтобы управлять разрешениями для виртуальной машины или группы ресурсов, нужно использовать управление доступом на основе ролей Azure (Azure RBAC).

Что происходит с классическими ролями администратора подписки в Azure?

Классические роли администратора, такие как «Администратор учетной записи», «Администратор службы» и «Соадминистратор», полностью выведены из употребления корпорацией Microsoft. Всё современное управление доступом выполняется исключительно через Azure RBAC.