New-AzRoleAssignment

New-AzRoleAssignment
    -ObjectId <String>
    -RoleDefinitionName <String>
    [-Scope <String>]
    [-Description <String>]
    [-Condition <String>]
    [-ConditionVersion <String>]
    [-ObjectType <String>]
    [-AllowDelegation]
    [-SkipClientSideScopeValidation]
    [-DefaultProfile <IAzureContextContainer>]
    [<CommonParameters>]

New-AzRoleAssignment
    -ObjectId <String>
    -ResourceGroupName <String>
    -RoleDefinitionName <String>
    [-Description <String>]
    [-Condition <String>]
    [-ConditionVersion <String>]
    [-ObjectType <String>]
    [-AllowDelegation]
    [-SkipClientSideScopeValidation]
    [-DefaultProfile <IAzureContextContainer>]
    [<CommonParameters>]

New-AzRoleAssignment
    -ObjectId <String>
    -ResourceGroupName <String>
    -ResourceName <String>
    -ResourceType <String>
    -RoleDefinitionName <String>
    [-ParentResource <String>]
    [-Description <String>]
    [-Condition <String>]
    [-ConditionVersion <String>]
    [-ObjectType <String>]
    [-AllowDelegation]
    [-SkipClientSideScopeValidation]
    [-DefaultProfile <IAzureContextContainer>]
    [<CommonParameters>]

New-AzRoleAssignment
    -ObjectId <String>
    -Scope <String>
    -RoleDefinitionId <Guid>
    [-Description <String>]
    [-Condition <String>]
    [-ConditionVersion <String>]
    [-ObjectType <String>]
    [-AllowDelegation]
    [-SkipClientSideScopeValidation]
    [-DefaultProfile <IAzureContextContainer>]
    [<CommonParameters>]

New-AzRoleAssignment
    -SignInName <String>
    -ResourceGroupName <String>
    -RoleDefinitionName <String>
    [-Description <String>]
    [-Condition <String>]
    [-ConditionVersion <String>]
    [-ObjectType <String>]
    [-AllowDelegation]
    [-SkipClientSideScopeValidation]
    [-DefaultProfile <IAzureContextContainer>]
    [<CommonParameters>]

New-AzRoleAssignment
    -SignInName <String>
    -ResourceGroupName <String>
    -ResourceName <String>
    -ResourceType <String>
    -RoleDefinitionName <String>
    [-ParentResource <String>]
    [-Description <String>]
    [-Condition <String>]
    [-ConditionVersion <String>]
    [-ObjectType <String>]
    [-AllowDelegation]
    [-SkipClientSideScopeValidation]
    [-DefaultProfile <IAzureContextContainer>]
    [<CommonParameters>]

New-AzRoleAssignment
    -SignInName <String>
    -RoleDefinitionName <String>
    [-Scope <String>]
    [-Description <String>]
    [-Condition <String>]
    [-ConditionVersion <String>]
    [-ObjectType <String>]
    [-AllowDelegation]
    [-SkipClientSideScopeValidation]
    [-DefaultProfile <IAzureContextContainer>]
    [<CommonParameters>]

New-AzRoleAssignment
    -ApplicationId <String>
    -ResourceGroupName <String>
    -RoleDefinitionName <String>
    [-Description <String>]
    [-Condition <String>]
    [-ConditionVersion <String>]
    [-ObjectType <String>]
    [-AllowDelegation]
    [-SkipClientSideScopeValidation]
    [-DefaultProfile <IAzureContextContainer>]
    [<CommonParameters>]

New-AzRoleAssignment
    -ApplicationId <String>
    -ResourceGroupName <String>
    -ResourceName <String>
    -ResourceType <String>
    -RoleDefinitionName <String>
    [-ParentResource <String>]
    [-Description <String>]
    [-Condition <String>]
    [-ConditionVersion <String>]
    [-ObjectType <String>]
    [-AllowDelegation]
    [-SkipClientSideScopeValidation]
    [-DefaultProfile <IAzureContextContainer>]
    [<CommonParameters>]

New-AzRoleAssignment
    -ApplicationId <String>
    -RoleDefinitionName <String>
    [-Scope <String>]
    [-Description <String>]
    [-Condition <String>]
    [-ConditionVersion <String>]
    [-ObjectType <String>]
    [-AllowDelegation]
    [-SkipClientSideScopeValidation]
    [-DefaultProfile <IAzureContextContainer>]
    [<CommonParameters>]

New-AzRoleAssignment
    -InputFile <String>
    [-AllowDelegation]
    [-SkipClientSideScopeValidation]
    [-DefaultProfile <IAzureContextContainer>]
    [<CommonParameters>]

New-AzRoleAssignment コマンドを使用してアクセス権を付与します。 適切な RBAC ロールを適切なスコープで割り当てることで、アクセス権が付与されます。 サブスクリプション全体へのアクセス権を付与するには、サブスクリプション スコープでロールを割り当てます。 サブスクリプション内の特定のリソース グループへのアクセスを許可するには、リソース グループ スコープでロールを割り当てます。 割り当ての件名を指定する必要があります。 ユーザーを指定するには、SignInName パラメーターまたは Microsoft Entra ObjectId パラメーターを使用します。 セキュリティ グループを指定するには、Microsoft Entra ObjectId パラメーターを使用します。 また、Microsoft Entra アプリケーションを指定するには、ApplicationId または ObjectId パラメーターを使用します。 割り当てられているロールは、RoleDefinitionName パラメーターを使用して指定する必要があります。 アクセスを許可するスコープを指定できます。 既定では、選択したサブスクリプションが使用されます。 割り当てのスコープは、次のいずれかのパラメーターの組み合わせを使用して指定できます。 スコープ - これは、/subscriptions/<subscriptionId> b で始まる完全修飾スコープです。 ResourceGroupName - 指定したリソース グループへのアクセスを許可します。 c. ResourceName、ResourceType、ResourceGroupName、および (オプションで) ParentResource - アクセス権を付与するリソース グループ内の特定のリソースを指定します。

New-AzRoleAssignment -ResourceGroupName rg1 -SignInName allen.young@live.com -RoleDefinitionName Reader -AllowDelegation

委任に使用できるロールの割り当てを使用して、リソース グループ スコープのユーザーに閲覧者ロールのアクセス権を付与する

Get-AzADGroup -SearchString "Christine Koch Team"

          DisplayName                    Type                           Id
          -----------                    ----                           --------
          Christine Koch Team                                           2f9d4375-cbf1-48e8-83c9-2a0be4cb33fb

New-AzRoleAssignment -ObjectId 2f9d4375-cbf1-48e8-83c9-2a0be4cb33fb -RoleDefinitionName Contributor  -ResourceGroupName rg1

セキュリティ グループへのアクセスを許可する

New-AzRoleAssignment -SignInName john.doe@contoso.com -RoleDefinitionName Owner -Scope "/subscriptions/00001111-aaaa-2222-bbbb-3333cccc4444/resourcegroups/rg1/providers/Microsoft.Web/sites/site1"

リソース (Web サイト) でユーザーにアクセス権を付与する

New-AzRoleAssignment -ObjectId 00001111-aaaa-2222-bbbb-3333cccc4444 -RoleDefinitionName "Virtual Machine Contributor" -ResourceName Devices-Engineering-ProjectRND -ResourceType Microsoft.Network/virtualNetworks/subnets -ParentResource virtualNetworks/VNET-EASTUS-01 -ResourceGroupName Network

入れ子になったリソース (サブネット) のグループへのアクセスを許可する

$servicePrincipal = New-AzADServicePrincipal -DisplayName "testServiceprincipal"
New-AzRoleAssignment -RoleDefinitionName "Reader" -ApplicationId $servicePrincipal.ApplicationId

サービス プリンシパルへの閲覧者アクセスを許可する

$Condition = '(
 (
  !(ActionMatches{''Microsoft.Authorization/roleAssignments/write''})
 )
 OR
 (
  @Request[Microsoft.Authorization/roleAssignments:PrincipalType] StringEqualsIgnoreCase ''ServicePrincipal''
 )
)
AND
(
 (
  !(ActionMatches{''Microsoft.Authorization/roleAssignments/delete''})
 )
 OR
 (
  @Resource[Microsoft.Authorization/roleAssignments:PrincipalType] StringEqualsIgnoreCase ''ServicePrincipal''
 )
)'

$DelegationParams = @{
    AllowDelegation = $true
    Condition = $Condition
    Scope = "/subscriptions/11112222-bbbb-3333-cccc-4444dddd5555"
    RoleDefinitionName = 'User Access Administrator'
    ObjectId = "00001111-aaaa-2222-bbbb-3333cccc4444"
}

New-AzRoleAssignment @DelegationParams

制約付き委任を使用して、Azure サブスクリプションに対してユーザー アクセス管理者に付与します。
制約付き委任では、委任されたユーザー/サービス プリンシパル/グループが、サービス プリンシパルと任意のロールに対する新しいロールの割り当てを作成、削除、更新することのみが許可されます。

$Condition = '(
 (
  !(ActionMatches{''Microsoft.Authorization/roleAssignments/write''})
 )
 OR
 (
  @Request[Microsoft.Authorization/roleAssignments:PrincipalType] StringEqualsIgnoreCase ''ServicePrincipal''
  AND
  NOT @Request[Microsoft.Authorization/roleAssignments:RoleDefinitionId] ForAnyOfAnyValues:GuidEquals {8e3af657-a8ff-443c-a75c-2fe8c4bcb635,18d7d88d-d35e-4fb5-a5c3-7773c20a72d9}
 )
)
AND
(
 (
  !(ActionMatches{''Microsoft.Authorization/roleAssignments/delete''})
 )
 OR
 (
  @Resource[Microsoft.Authorization/roleAssignments:PrincipalType] StringEqualsIgnoreCase ''ServicePrincipal''
  AND
  NOT @Resource[Microsoft.Authorization/roleAssignments:RoleDefinitionId] ForAnyOfAnyValues:GuidEquals {8e3af657-a8ff-443c-a75c-2fe8c4bcb635,18d7d88d-d35e-4fb5-a5c3-7773c20a72d9}
 )
)'

$DelegationParams = @{
    AllowDelegation = $true
    Condition = $Condition
    Scope = "/subscriptions/11112222-bbbb-3333-cccc-4444dddd5555"
    RoleDefinitionName = 'User Access Administrator'
    ObjectId = "00001111-aaaa-2222-bbbb-3333cccc4444"
}

New-AzRoleAssignment @DelegationParams

制約付き委任を使用して、Azure サブスクリプションに対してユーザー アクセス管理者に付与します。
制約付き委任では、委任されたユーザー/サービス プリンシパル/グループが、 所有者 ロールと ユーザー アクセス管理者 ロールを除き、サービス プリンシパルの新しいロールの割り当てを作成、削除、更新することのみが許可されます。

このコマンドレットでは、一般的なパラメーター -Debug、-ErrorAction、-ErrorVariable、-InformationAction、-InformationVariable、-OutBuffer、-OutVariable、-PipelineVariable、-ProgressAction、-Verbose、-WarningAction、-WarningVariable の各パラメーターがサポートされています。 詳細については、about_CommonParametersを参照してください。

ロールの割り当て委任の詳細 - https://learn.microsoft.com/en-us/azure/role-based-access-control/delegate-role-assignments-portal?tabs=template
キーワード: azure, azurerm, arm, リソース, 管理, マネージャー, リソース, グループ, テンプレート, デプロイ