Táblázatszintű olvasási hozzáférés kezelése Log Analytics-munkaterületen

A táblaszintű hozzáférési beállítások lehetővé teszik, hogy adott felhasználók vagy csoportok írásvédett engedélyt adjanak egy táblában lévő adatokhoz. A táblaszintű olvasási hozzáféréssel rendelkező felhasználók a munkaterületen és az erőforrás-környezetben is beolvashatják az adatokat a megadott táblából.

Ez a cikk a táblázatszintű olvasási hozzáférés kezelésének két módját ismerteti.

Táblaszintű olvasási hozzáférés beállítása (előzetes verzió)

A táblaszintű olvasási hozzáférés biztosításához két szerepkört kell hozzárendelni egy felhasználóhoz:

• Munkaterület szintjén – egyéni szerepkör, amely korlátozott engedélyeket biztosít a munkaterület részleteinek olvasásához és lekérdezések futtatásához a munkaterületen, de egyetlen táblából sem olvas be adatokat.
• A tábla szintjén – egy olvasói szerepkör, amely az adott táblára terjed ki.

Ha korlátozott engedélyeket szeretne adni egy felhasználónak vagy csoportnak a Log Analytics-munkaterülethez:

1. Hozzon létre egy egyéni szerepkört a munkaterület szintjén, amellyel a felhasználók elolvashatják a munkaterület részleteit, és lekérdezést futtathatnak a munkaterületen anélkül, hogy olvasási hozzáférést biztosítanának a táblák adataihoz:

   1. Lépjen a munkaterületre, és válassza a Hozzáférés-vezérlési (IAM-)> szerepköröket.

   2. Kattintson a jobb gombbal az Olvasó szerepkörre, és válassza a Klónozás lehetőséget.

      

      Ekkor megnyílik az Egyéni szerepkör létrehozása képernyő.

   3. A képernyő Alapjai lapján:

      1. Adjon meg egy egyéni szerepkörnévértéket , és szükség esetén adjon meg egy leírást.
      2. Alapterv-engedélyek beállítása az alapoktól kezdve.

      

   4. Válassza a JSON lap >Szerkesztés elemét:

      1. A szakaszban adja hozzá a "actions" következő műveleteket:

         "Microsoft.OperationalInsights/workspaces/read",
         "Microsoft.OperationalInsights/workspaces/query/read" 
         

      2. A szakaszban adja hozzá a "not actions" következőt:

         "Microsoft.OperationalInsights/workspaces/sharedKeys/read"
         

      

   5. Válassza a Véleményezés mentése>+ Létrehozás lehetőséget a képernyő alján, majd a Létrehozás lehetőséget a következő lapon.

2. Rendelje hozzá az egyéni szerepkört a megfelelő felhasználóhoz:

   1. Válassza a Hozzáférés-vezérlés (AIM)>Szerepkör-hozzárendelés hozzáadása>lehetőséget.

      

   2. Válassza ki a létrehozott egyéni szerepkört, és válassza a Tovább gombot.

      

      Ekkor megnyílik az Egyéni szerepkör-hozzárendelés hozzáadása képernyő Tagok lapja.

   3. Kattintson a + Tagok kijelölése elemre a Tagok kijelölése képernyő megnyitásához.

      

   4. Keressen és jelöljön ki egy felhasználót, majd kattintson a Kiválasztás gombra.

   5. Válassza a Véleményezés lehetőséget, és rendelje hozzá.

A felhasználó most már elolvashatja a munkaterület adatait, és lefuttathat egy lekérdezést, de egyetlen táblából sem tud adatokat olvasni.

Ha olvasási hozzáférést szeretne adni a felhasználónak egy adott táblához:

1. A Log Analytics-munkaterületek menüben válassza a Táblák lehetőséget.

2. Válassza a táblázattól jobbra található három pontot ( ... ), majd válassza a Hozzáférés-vezérlés (IAM) lehetőséget.

   

3. A Hozzáférés-vezérlés (IAM) képernyőn válassza a Szerepkör-hozzárendelés hozzáadása>lehetőséget.

4. Válassza ki az Olvasó szerepkört, és válassza a Tovább lehetőséget.

5. Kattintson a + Tagok kijelölése elemre a Tagok kijelölése képernyő megnyitásához.

6. Keresse meg és jelölje ki a felhasználót, majd kattintson a Kiválasztás gombra.

7. Válassza a Véleményezés lehetőséget, és rendelje hozzá.

A felhasználó mostantól ebből az adott táblából olvashat adatokat. Szükség szerint olvasási hozzáférést biztosíthat a felhasználónak a munkaterület más tábláihoz.

Régebbi módszer a táblaszintű olvasási hozzáférés beállítására

A táblaszintű örökölt módszer azure-beli egyéni szerepkörök használatával is lehetővé teszi, hogy adott felhasználók vagy csoportok hozzáférjenek a munkaterület adott tábláihoz. Az Azure-beli egyéni szerepkörök munkaterület-környezettel vagy erőforrás-környezet hozzáférés-vezérlési móddal rendelkező munkaterületekre vonatkoznak, függetlenül a felhasználó hozzáférési módjától.

Egy adott táblához való hozzáférés meghatározásához hozzon létre egy egyéni szerepkört:

• Állítsa be a felhasználói engedélyeket a szerepkördefiníció Műveletek szakaszában.
• Az összes tábla hozzáférésének megadására használható Microsoft.OperationalInsights/workspaces/query/* .
• Ha ki szeretné zárni az adott táblákhoz való hozzáférést, amikor helyettesítő karaktert használ a Műveletek alkalmazásban, a szerepkördefiníció NotActions szakaszában listázhatja a kizárt táblákat.

Az alábbi példák egyéni szerepkörműveleteket mutatnak be, amelyek adott táblákhoz való hozzáférést biztosítanak és tiltanak le.

Hozzáférés biztosítása a Szívverés és az AzureActivity táblákhoz:

"Actions":  [
    "Microsoft.OperationalInsights/workspaces/read",
    "Microsoft.OperationalInsights/workspaces/query/read",
    "Microsoft.OperationalInsights/workspaces/query/Heartbeat/read",
    "Microsoft.OperationalInsights/workspaces/query/AzureActivity/read"
  ],

Csak a SecurityBaseline táblához adjon hozzáférést:

"Actions":  [
    "Microsoft.OperationalInsights/workspaces/read",
    "Microsoft.OperationalInsights/workspaces/query/read",
    "Microsoft.OperationalInsights/workspaces/query/SecurityBaseline/read"
],

Hozzáférés biztosítása az összes táblához a SecurityAlert tábla kivételével:

"Actions":  [
    "Microsoft.OperationalInsights/workspaces/read",
    "Microsoft.OperationalInsights/workspaces/query/read",
    "Microsoft.OperationalInsights/workspaces/query/*/read"
],
"notActions":  [
    "Microsoft.OperationalInsights/workspaces/query/SecurityAlert/read"
],

Az egyéni táblákhoz kapcsolódó örökölt metódus korlátozásai

Az egyéni táblák olyan adatforrásokból gyűjtött adatokat tárolnak, mint a szöveges naplók és a HTTP Data Collector API. A táblatípus azonosításához tekintse meg a log analytics táblázatadatait.

A táblaszintű hozzáférés régi módszerével nem adhat hozzáférést az egyéni naplótáblákhoz a tábla szintjén, de az összes egyéni naplótáblához biztosíthat hozzáférést. Ha az összes egyéni naplótáblához hozzáférést biztosító szerepkört szeretne létrehozni, hozzon létre egy egyéni szerepkört az alábbi műveletek használatával:

"Actions":  [
    "Microsoft.OperationalInsights/workspaces/read",
    "Microsoft.OperationalInsights/workspaces/query/read",
    "Microsoft.OperationalInsights/workspaces/query/Tables.Custom/read"
],

Táblaszintű hozzáférési szempontok és korlátozások

• A Log Analytics felhasználói felületén a táblaszintű felhasználók megtekinthetik a munkaterület összes táblájának listáját, de csak olyan táblákból tudnak adatokat lekérni, amelyekhez hozzáféréssel rendelkeznek.
• A standard olvasói vagy közreműködői szerepkörök, amelyek tartalmazzák a */olvasási műveletet, felülbírálják a táblaszintű hozzáférés-vezérlést, és hozzáférést biztosítanak a felhasználóknak az összes naplóadathoz.
• A táblaszintű hozzáféréssel rendelkező, de munkaterületszintű engedélyekkel nem rendelkező felhasználók az API-ból férhetnek hozzá a naplóadatokhoz, az Azure Portalról azonban nem.
• Az előfizetés rendszergazdái és tulajdonosai az egyéb engedélybeállításoktól függetlenül minden adattípushoz hozzáférhetnek.
• A munkaterület-tulajdonosokat a rendszer minden más felhasználóhoz hasonlóan kezeli a táblaalapú hozzáférés-vezérléshez.
• Szerepkörök hozzárendelése biztonsági csoportokhoz egyéni felhasználók helyett a hozzárendelések számának csökkentése érdekében. Ez a gyakorlat a meglévő csoportfelügyeleti eszközök használatát is segíti a hozzáférés konfigurálásához és ellenőrzéséhez.

Következő lépések

• További információ a Log Analytics-munkaterületekhez való hozzáférés kezeléséről.