Чи має глобальний адміністратор автоматично доступ до сховищ і віртуальних машин Azure?

Ні. Глобальний адміністратор керує рівнем каталогу (Entra ID) і не має автоматичного доступу до ресурсів Azure, якщо він явно не підвищить свій доступ за допомогою перемикача в порталі для адміністрування доступу користувачів у всіх передплатах.

У чому різниця в області дії між роллю Azure і роллю Entra ID?

Ролі Azure поширюються на групи управління, передплати, групи ресурсів або окремі ресурси. Ролі Entra ID поширюються на весь клієнт, адміністративні одиниці або окремі об'єкти застосунків.

Чи можна використати роль Entra ID, щоб призначити дозволи для конкретної віртуальної машини Azure?

Ні. Ролі Entra ID керують об'єктами каталогу, такими як користувачі й застосунки. Щоб керувати дозволами для віртуальної машини або групи ресурсів, потрібно використовувати Azure Role-Based Access Control (RBAC).

Що відбувається з класичними ролями адміністраторів передплати в Azure?

Класичні ролі адміністраторів, як-от Account Administrator, Service Administrator і Co-administrator, остаточно вилучено Microsoft. Усе сучасне керування доступом працює виключно через Azure RBAC.

Ролі Azure і ролі Entra ID: у чому помиляються адміністратори хмари

By Mirko Peters · 2026-10-29

Перестаньте плутати Azure RBAC з ролями Microsoft Entra. Дізнайтеся про ключові відмінності в області дії, дозволах і адмініструванні, щоб захистити свою хмару.

Automatically translated with AI from the original post. Read the English original

Cover: Azure Role-Based Access Control (RBAC) - Simply Explained

Ролі Azure і ролі Microsoft Entra — це дві різні межі авторизації, які часто плутають адміністратори хмари. Розуміння того, як працюють ці окремі системи дозволів, допомагає призначати правильні привілеї правильним ідентичностям і не надати випадково надмірний контроль над вашою інфраструктурою чи службами каталогу.

Головне

Ролі Azure контролюють доступ до об'єктів хмарних ресурсів, таких як віртуальні машини, облікові записи сховища та віртуальні мережі.
Ролі Microsoft Entra ID регулюють дозволи на рівні каталогу, зокрема створення користувачів, створення груп і призначення ліцензій.
Глобальні адміністратори не отримують автоматично повного контролю над передплатами Azure без явного налаштування.
Розуміння різних областей дії запобігає катастрофічному підвищенню привілеїв і упущенням безпеки під час аудитів відповідності.

Головна відмінність: ресурси проти каталогу

Коли ви починаєте керувати дозволами в екосистемі хмарних служб Microsoft, слово «роль» з'являється в багатьох центрах адміністрування. Це збігання термінології — найпоширеніше джерело плутанини для інженерів, архітекторів і команд підтримки. Найпростіший спосіб зберегти ясність — розділити те, що саме ви намагаєтеся змінити.

Ролі Azure контролюють доступ до ресурсів Azure. Якщо ваше завдання — запустити віртуальну машину, налаштувати віртуальну мережу, змінити правило брандмауера або читати файли всередині контейнера сховища, ви працюєте в межах Azure Role-Based Access Control (RBAC). Ці дозволи застосовуються безпосередньо до інфраструктури та рівнів даних, що працюють у ваших передплатах хмари.

Натомість ролі Microsoft Entra контролюють доступ до ресурсів каталогу. Якщо ваше завдання — створити нові облікові записи користувачів, змінити членство в групах, призначити ліцензії Microsoft 365 або скинути паролі, ви працюєте в Microsoft Entra ID. Ці дії стосуються рівня ідентичностей вашої організації, а не рівнів обчислень чи зберігання.

Плутанина між цими двома системами призводить до небезпечних адміністративних скорочень. Інженер, який вважає, що права в каталозі надають доступ до інфраструктури, або навпаки, часто запитуватиме надмірно широкі дозволи лише для того, щоб виконати щоденну роботу. Співставлення завдань із правильною площиною авторизації — основа безпечної архітектури хмари.

Порівняння областей дії та меж

Межі дії дозволів суттєво відрізняються залежно від того, працюєте ви з роллю Azure чи роллю Entra ID. Область дії визначає радіус наслідків будь-якої людської або автоматизованої помилки, тому важливо опанувати ієрархію обох систем.

Області дії ролей Azure

Azure RBAC працює за суворо ієрархічною моделлю областей дії. Призначаючи роль в Azure, ви застосовуєте її на одному з чотирьох рівнів:

Група управління: найширший рівень контейнера, який застосовує дозволи до кількох передплат.
Передплата: межа для виставлення рахунків, управління та набору пов'язаних служб.
Група ресурсів: логічна папка, що містить конкретні ресурси для проєкту або середовища.
Ресурс: найвужчий рівень, що стосується одного окремого віртуального комп'ютера, облікового запису сховища або бази даних.

Дозволи, призначені на батьківському рівні, успадковуються нижчими рівнями. Якщо ви призначите роль читача на рівні групи управління, ця ідентичність зможе бачити кожен ресурс у кожній підписці, вкладеній у цю групу.

Області дії ролей Entra ID

Ролі Microsoft Entra не відповідають ієрархії ресурсів Azure. Натомість вони призначаються на рівні клієнта, у межах адміністративних одиниць або для окремих об'єктів, наприклад зареєстрованого корпоративного застосунку. Ви не можете призначити роль Entra ID для групи ресурсів чи віртуального комп'ютера, адже ці об'єкти не існують у графі каталогу так само, як у Azure.

Міф і реальність про роль Global Administrator

Одне з найстійкіших хибних уявлень в адмініструванні хмарних середовищ полягає в тому, що роль Global Administrator у Microsoft Entra дає необмежений контроль над кожною підпискою та кожним ресурсом у вашому середовищі Azure. Це не так.

Оскільки ресурси Azure та об'єкти каталогу Entra керуються окремими системами авторизації, щойно призначений Global Administrator не може автоматично переглядати чи керувати віртуальними комп'ютерами в підписці, доки не буде виконано явну дію. Водночас Global Administrator має унікальну можливість підвищити власні привілеї. Перемкнувши відповідний перемикач керування доступом у порталі Azure, він може призначити собі роль User Access Administrator у кожній підписці клієнта.

Цей механізм не дає адміністраторам випадково знищити інфраструктуру, про існування якої вони не знали, але створює сліпу зону для аудиту, якщо організація не відстежує, хто активував цей перемикач підвищення. Розгляд адміністрування каталогу та адміністрування ресурсів Azure як двох різних дисциплін є критично важливим для підтримання надійного рівня безпеки.

Висновок

Розуміння тонкощів хмарних дозволів вимагає усвідомлення того, що ролі Azure та ролі Microsoft Entra служать принципово різним цілям. Якщо змін інфраструктури дотримуватися через Azure RBAC, а управління ідентичностями прив'язати до Entra ID, ви усунете неоднозначність, зменшите зону ураження та впевнено проходитимете перевірки відповідності.

Щоб глибше розібратися, як працює контроль доступу в хмарі Microsoft, обов'язково перегляньте пов'язане обговорення в подкасті. Послухайте повний епізод, де простими словами пояснюється, як освоїти архітектуру хмари та практики безпеки.

Поширені запитання

Чи має Global Administrator автоматично доступ до сховищ Azure та віртуальних комп'ютерів?

Ні. Global Administrator керує рівнем каталогу (Entra ID) і не має автоматичного доступу до ресурсів Azure, доки він явно не підвищить свій доступ за допомогою перемикача керування користувацьким доступом у підписках.

Яка різниця в області дії між роллю Azure та роллю Entra ID?

Ролі Azure мають область дії на рівні груп управління, підписок, груп ресурсів або окремих ресурсів. Ролі Entra ID мають область дії на рівні всього клієнта, адміністративних одиниць або окремих об'єктів застосунків.

Чи можна використати роль Entra ID для призначення дозволів на конкретний віртуальний комп'ютер Azure?

Ні. Ролі Entra ID керують об'єктами каталогу, як-от користувачами та застосунками. Щоб керувати дозволами для віртуального комп'ютера чи групи ресурсів, потрібно використовувати Azure Role-Based Access Control (RBAC).

Що відбувається з класичними ролями адміністраторів підписок в Azure?

Корперація Microsoft повністю вилучила класичні ролі адміністраторів, зокрема Account Administrator, Service Administrator та Co-administrator. Усе сучасне керування доступом виконується виключно через Azure RBAC.