Papéis de utilizador e permissões no Azure SRE Agent

O seu agente pode investigar problemas, tomar medidas na infraestrutura de produção e aceder a dados sensíveis em todo o seu ambiente. O controlo de acesso determina quem pode solicitar ações, quem as pode aprovar e quem pode modificar a configuração do agente.

Visão geral do controle de acesso

O controlo de acesso funciona em três camadas:

Camada Controlos Configurado em
Papéis de utilizador (esta página) O que os utilizadores podem fazer com o agente Azure IAM no recurso agente
Modos de execução Se o agente pergunta antes de agir Por plano de resposta e por tarefa agendada
Permissões do agente O que o agente pode aceder no Azure Papéis do RBAC nos grupos de recursos

Três funções incorporadas

Função Pode fazer Não é possível
Leitor de Agente SRE Ver tópicos, registos, incidentes Conversar, pedir ações, modificar qualquer coisa
Usuário padrão do SRE Agent Conversar, fazer diagnósticos, pedir ações Aprovar ações, eliminar recursos, modificar conectores
Administrador de Agentes SRE Aprovar ações, gerir conectores, eliminar recursos

O utilizador que cria o agente recebe automaticamente o papel de Administrador de Agente SRE .

Quem deveria ter que função?

Função Dá a
Leitor de Agente SRE Auditores, equipas de compliance, partes interessadas que precisam de visibilidade
Usuário padrão do SRE Agent Engenheiros L1/L2, primeiros socorristas, qualquer pessoa que diagnostique problemas
Administrador de Agentes SRE gestores SRE, administradores de cloud, comandantes de incidentes

Como o portal faz cumprir as permissões

O portal verifica atribuições de funções do Azure quando se acede ao agente. O acesso é garantido em dois níveis.

Sem acesso de agentes

Quando não tens atribuição de funções de Agente SRE, o portal mostra um ecrã Acesso Necessário com um ícone de escudo e um botão Ir para Access Control que abre a lâmina Azure IAM. Se tiver Azure Owner ou Contributor no recurso, também vê um banner que oferece a possibilidade de atribuir automaticamente o papel de Administrador.

Implementação de regras no backend

Quando tens um papel de Agente SRE mas tentas uma ação para além das tuas permissões, o backend bloqueia a ação com um erro 403. O portal pode permitir navegar até uma página ou selecionar um botão, mas a operação falha com um erro de permissão quando chega ao servidor.

Observação

Algumas funcionalidades do portal desativam proativamente botões quando não tens permissões de escrita. No entanto, isto ainda não é consistente em todas as funcionalidades — o backend aplica sempre as permissões corretas, independentemente do que a interface mostre.

O que cada função pode aceder

Area Reader Utilizador Padrão Administradores
Chat Ver tópicos (só leitura) Enviar mensagens, iniciar tópicos Acesso total + aprovar ações, eliminar tópicos
Agent Canvas Ver agentes personalizados Ver agentes personalizados Criar, editar, eliminar agentes personalizados
Base de conhecimento Navegar por documentos Carregar documentos Carregar + eliminar documentos
Conectores Ver conectores Ver conectores Adicionar, editar, eliminar conectores
Planos de resposta Ver planos Ver planos Criar, editar, eliminar planos
Recursos geridos Visualizar recursos Visualizar recursos Adicionar, remover recursos
Settings Ver definições Ver definições Modificar definições, parar/eliminar agente

Atribuir funções

Atribuir funções através do portal Azure (Controlo de Acesso (IAM)>Adicionar atribuição de funções) ou Azure CLI:

az role assignment create \
  --assignee user@company.com \
  --role "SRE Agent Administrator" \
  --scope <agent-resource-id>

Substitua o nome da função por SRE Agent Standard User ou SRE Agent Reader conforme necessário.

Como os papéis funcionam em conjunto

Step Quem Action
1 Engenheiro (Utilizador Padrão) "Corrigir o problema de configuração"
2 Agente Elabora o plano de remediação
3 Agente Não é possível executar (necessita de aprovação do Administrador)
4 Gestor (Administrador) Avaliações e aprovações
5 Agente Executa correção usando identidade gerida