Вопрос или проблема
Я поддерживаю НПО, и мы используем программу Microsoft-Azure-Sponsorship.
У нас есть система Windows 10 для графического рендеринга. Но держать её включенной постоянно превышает наш бюджет. Насколько я понимаю, есть возможность поставить систему в спящий режим в Azure Portal, когда она не используется, и тем самым сократить затраты. Но я не хочу предоставлять права администратора пользователю системы Windows 10.
Как я могу предоставить конкретному пользователю право только ставить систему в спящий режим в Azure Portal и перезагружать систему?
Есть ли возможность сделать это через скрипт, работающий на веб-сервере (у меня также есть система Linux в той же среде, которая уже выполняет команды az snapshot с соответствующей ресурсной группой)?
Должен признаться, что я новичок в Azure Portal – любая помощь была бы оценена.
Заранее спасибо.
Pengo
Назначение роли в Azure Portal – но это не сработало только для режима сна.
Ответ или решение
Как назначить роль "Только для гибернации" конкретному пользователю в Azure Portal
В результате ваших усилий по поддержке НПО в рамках программы спонсорства Microsoft Azure вы столкнулись с задачей временного снижения затрат на облачные ресурсы. Ваше желание назначить конкретному пользователю возможности для гибернации и перезапуска Windows 10-системы в Azure Portal, без предоставления ему административных прав, вполне разумно. Данная инструкция поможет вам шаг за шагом выполнить эту задачу.
Шаг 1: Создание специальной роли
-
Создание пользовательской роли:
Azure не предоставляет предустановленную роль, которая бы ограничивала пользователя только возможностями гибернации и перезапуска. Поэтому вам нужно создать пользовательскую роль:- Перейдите в Azure Portal и в правом верхнем углу найдите и выберите "Поиск".
- Введите "Роли" и выберите "Контекст прав доступа".
- Найдите раздел "Пользовательские роли" и нажмите "Создать пользовательскую роль".
- Укажите имя и описание роли, например "Гибернация для пользователя".
-
Определение разрешений:
В разделе "Разрешения" добавьте следующие действия, которые будут требоваться пользователю:Microsoft.Compute/virtualMachines/start/actionMicrosoft.Compute/virtualMachines/deallocate/action
Убедитесь, что вы не добавили никаких разрешений, которые предоставляет роль администратора, такие как
Microsoft.Compute/virtualMachines/*. -
Сохранение роли:
После добавления необходимых действий нажмите "Создать", чтобы сохранить роль.
Шаг 2: Назначение роли пользователю
-
Выбор ресурса:
Найдите нужную виртуальную машину в Azure Portal. На панели управления выберите "Контроль доступа (IAM)". -
Назначение роли:
- Нажмите "Добавить" и выберите "Добавить роль присвоения".
- В разделе "Роля" выберите только что созданную вами роль "Гибернация для пользователя".
- В разделе "Выбор" найдите конкретного пользователя, которому необходимо предоставить права.
-
Подтверждение назначения:
После выбора пользователя нажмите кнопку "Сохранить". Теперь выбранный пользователь имеет права для остановки и перезапуска виртуальной машины, что позволяет ему управлять состоянием системы без получения административных прав.
Шаг 3: Использование командного интерфейса (CLI)
Если вы хотите автоматизировать процессы гибернации и запуска через скрипт, вы можете использовать Azure CLI, установленный на вашем Linux-сервере. Вот пример команд, которые можно использовать:
-
Гибернация виртуальной машины:
az vm deallocate --resource-group <Имя_группы_ресурсов> --name <Имя_виртуальной_машины> -
Запуск виртуальной машины:
az vm start --resource-group <Имя_группы_ресурсов> --name <Имя_виртуальной_машины>
Заключение
Теперь, когда вы создали специализированную роль для гибернации и повторного запуска виртуальной машины, выделенному пользователю больше не нужно беспокоиться о случайном изменении конфигураций или доступе к административным функциям. Используйте Azure CLI для автоматизации процессов, что тоже поможет снизить затраты. Ваши усилия по оптимизации расходования ресурсов будут оценены, и вы сможете уверенно управлять ресурсами Azure.
Если у вас возникнут дополнительные вопросы или потребуется дополнительная помощь, не стесняйтесь обращаться к сообществу Azure или консультантам. Удачи в вашей благородной работе с НПО!