Gebruikersrollen en -machtigingen in Azure SRE-agent

Uw agent kan problemen onderzoeken, acties uitvoeren op de productie-infrastructuur en toegang krijgen tot gevoelige gegevens in uw omgeving. Toegangsbeheer bepaalt wie acties kan aanvragen, wie deze kan goedkeuren en wie de configuratie van de agent kan wijzigen.

Overzicht van toegangsbeheer

Toegangsbeheer werkt in drie lagen:

Laag Controles Geconfigureerd op
Gebruikersrollen (deze pagina) Wat gebruikers kunnen doen met de agent Azure IAM op de agent-resource
Uitvoeringsmodi Of de agent vraagt voordat hij actie ondergaat Per reactieplan en per geplande taak
Agentmachtigingen Waartoe de agent toegang heeft op Azure RBAC-rollen voor resourcegroepen

Drie ingebouwde rollen

Rol Kan doen Kan niet
SRE-agentlezer Threads, logboeken, incidenten weergeven Chatten, acties aanvragen, alles wijzigen
Standaardgebruiker voor SRE Agent Chatten, diagnostische gegevens uitvoeren, aanvraagacties Acties goedkeuren, resources verwijderen, connectors wijzigen
SRE-agentbeheerder Acties goedkeuren, connectors beheren, resources verwijderen

De gebruiker die de agent maakt, ontvangt automatisch de rol SRE-agentbeheerder .

Wie moet welke rol hebben?

Rol Geven aan
SRE-agentlezer Auditors, complianceteams, belanghebbenden die zichtbaarheid nodig hebben
Standaardgebruiker voor SRE Agent L1/L2-technici, eerste responders, iedereen die problemen diagnosticeert
SRE-agentbeheerder SRE-managers, cloudbeheerders, incidentcommandanten

Hoe de portal machtigingen afdwingt

De portal controleert uw Azure roltoewijzingen wanneer u de agent opent. Toegang wordt afgedwongen op twee niveaus.

Geen agenttoegang

Wanneer u geen roltoewijzing voor de SRE-agent hebt, wordt in de portal een scherm Access Required weergegeven met een schildpictogram en een Go naar Access Controlknop waarmee de blade Azure IAM wordt geopend. Als u Azure Eigenaar of Bijdrager voor de resource bent, ziet u ook een banner om de beheerdersrol automatisch toe te wijzen.

Back-end afdwingen

Wanneer u een SRE-agentrol hebt, maar een actie buiten uw machtigingen probeert uit te voeren, blokkeert de back-end de actie met een 403-fout. In de portal kunt u naar een pagina navigeren of een knop selecteren, maar de bewerking mislukt met een machtigingsfout wanneer deze de server bereikt.

Opmerking

Sommige portalfuncties schakelen proactief knoppen uit wanneer u geen schrijfmachtigingen hebt. Dit is echter nog niet consistent voor alle functies. De back-end dwingt altijd de juiste machtigingen af, ongeacht wat de gebruikersinterface weergeeft.

Waartoe elke rol toegang heeft

Oppervlak Reader Standaardgebruiker Administrator
Chat Threads bekijken (alleen lezen) Berichten verzenden, threads starten Volledige toegang + acties goedkeuren, threads verwijderen
Agentcanvas Aangepaste agents weergeven Aangepaste agents weergeven Aangepaste agents maken, bewerken, verwijderen
Knowledge base Door documenten bladeren Documenten uploaden Documenten uploaden en verwijderen
Connectoren Connectors weergeven Connectors weergeven Connectors toevoegen, bewerken, verwijderen
Reactieplannen Plannen weergeven Plannen weergeven Plannen maken, bewerken, verwijderen
Beheerde middelen Bekijk bronnen Bekijk bronnen Resources toevoegen, verwijderen
Settings Weergave-instellingen Weergave-instellingen Instellingen wijzigen, agent stoppen/verwijderen

Rollen toewijzen

Rollen toewijzen via de Azure-portal (Toegangsbeheer (IAM)>Roltoewijzing toevoegen) of Azure CLI:

az role assignment create \
  --assignee user@company.com \
  --role "SRE Agent Administrator" \
  --scope <agent-resource-id>

Vervang de rolnaam door SRE Agent Standard User of SRE Agent Reader indien nodig.

Hoe rollen samenwerken

Stap Wie Action
1 Engineer (Standaard gebruiker) 'Het configuratieprobleem oplossen'
2 Agent Plan voor herstel van conceptenfouten
3 Agent Kan niet worden uitgevoerd (vereist goedkeuring van de beheerder)
4 Manager (beheerder) Beoordelingen en goedkeuringen
5 Agent Hiermee wordt een reparatie uitgevoerd met behulp van een beheerde identiteit