Bei Verwendung eines der integrierten Konten wird der administrative Zugriff auf Nerdio Manager durch die Zuweisung einzelner Benutzer oder Gruppen zu der in Entra ID registrierten Anwendung von Nerdio Manager gesteuert. Ab Nerdio Manager v6.4 wurde die Unterstützung für kumulative RBAC für benutzerdefinierte Rollen eingeführt. Bitte lesen Sie dieses Dokument sorgfältig durch, um die Auswirkungen dieser Änderung zu verstehen. Details zum neuen und bisherigen Verhalten werden unten beschrieben.
Obwohl es für einen Benutzer möglich ist, durch mehrere Gruppenzugehörigkeiten zu Nerdio Manager berechtigt zu sein, ist dies bei Verwendung integrierter Konten oder einer Kombination aus integrierten Konten und benutzerdefinierten Rollen keine unterstützte Konfiguration. Es sollte darauf geachtet werden, dass Benutzer nur eine Zuweisung haben, die Zugriff auf Nerdio Manager gewährt, wenn integrierte Konten verwendet werden.
Anmerkung
Das hier beschriebene Verhalten ist der Standard für Neuinstallationen von Nerdio Manager. Bei bestehenden Installationen muss, falls kumulative RBAC-Funktionalität gewünscht ist, diese durch die App-Diensteinstellung Features:CumulativeRbac mit dem Wert True aktiviert werden.
Mit der Veröffentlichung von Nerdio Manager v6.4 wurde das Konzept der kumulativen RBAC für benutzerdefinierte Rollen eingeführt. Diese neue Funktionalität ermöglicht es, dass unterschiedliche Berechtigungen, die über separate individuelle Zuweisungen von Benutzer- oder Gruppenmitgliedschaften vergeben werden können, kumulativ innerhalb der Nerdio Manager-Konsole angewendet werden.
Wenn Konflikte innerhalb der zugewiesenen Rollen bestehen, wird die höhere Berechtigungszuweisung angewendet. Stellen Sie sicher, dass die Berechtigungen, die Sie Benutzern und Gruppen über benutzerdefinierte Rollen zuweisen, die Sicherheitsanforderungen Ihres Unternehmens erfüllen oder übertreffen.
Anmerkung
Mehrfache direkte Zuweisungen werden nicht unterstützt. Eine einzelne direkte Zuweisung kann mit mehreren indirekten (Gruppen-) Zuweisungen kombiniert werden. Diese neue Funktionalität gilt nur für benutzerdefinierte Rollen, die innerhalb der Nerdio Manager-Anwendung definiert sind. Integrierte Rollen sind von dieser neuen Funktionalität vollständig ausgeschlossen.
Grundlegende Prinzipien der Berechtigungszuweisung
Im Folgenden werden die Grundprinzipien erläutert, wie Berechtigungszuweisungen über Entra ID angewendet werden und wie Nerdio Manager diese interpretiert.
-
Benutzer können der Anwendung direkt mit einer spezifischen Kombination aus Rolle und Workspace zugewiesen werden, oder sie können direktes Mitglied einer Gruppe sein, der die Anwendung zugewiesen ist. Zuweisungen sowohl als User als auch als Gruppenmitglied werden unterstützt.
-
Mitglieder einer Gruppe, die ein verschachteltes Mitglied einer anderen Gruppe ist, welche der Entra ID-Anwendung zugewiesen ist, werden nicht berücksichtigt. Dies ist ein Limit von Entra ID. Weitere Details finden Sie in diesem Microsoft-Artikel.
-
Die integrierten Standardrollen von Nerdio Manager sind in Stufen mit abnehmender Berechtigung angeordnet. Wenn ein User Mitglied von Gruppen mit mehreren gleichwertigen integrierten Rollenebenen ist, stellt Entra ID nur eine dieser Zuweisungen für Nerdio Manager bereit. Im Allgemeinen erfolgt die Bereitstellung in alphabetischer Reihenfolge, sodass die Zuweisungen der ersten alphabetischen Gruppe in den meisten Situationen gelten, technisch gesehen kann die Verarbeitung jedoch in beliebiger Reihenfolge erfolgen.
Zusätzliche Prinzipien
-
Die benutzerdefinierten Rollen von Nerdio Manager bieten eine gefilterte Erfahrung auf Anwendungsebene. Daher bieten benutzerdefinierte Rollen die Möglichkeit, eine oder mehrere benutzerdefinierte Rollen per direkter Zuweisung oder Gruppenmitgliedschaft zuzuweisen, und diese Rollen werden innerhalb der Nerdio Manager-Anwendung kombiniert, um die umfangreichste Menge an Berechtigungen bereitzustellen.
-
Eine direkte Userzuweisung gilt als höchste Priorität. Daher wird jeder User, der direkt Nerdio Manager zugewiesen ist, vor anderen Berechtigungen zugewiesen, die möglicherweise durch Gruppen zugewiesen wurden.
Beispielszenario
-
Das Konto eines Users ist Mitglied der ABC-ADM Group und der DEF-ADM Group.
-
ABC-ADM Group ist unter der Gruppe XYZ-NerdioSupport-Admin verschachtelt.
-
ABC-ADM Group ist Workspace A mit einer benutzerdefinierten Rolle in Nerdio Manager zugewiesen.
-
DEF-ADM Group ist Workspace B mit einer benutzerdefinierten Rolle in Nerdio Manager zugewiesen.
-
XYZ-NerdioSupport-Admin ist den Workspaces C und D als AVD-Administrator in Nerdio Manager zugewiesen.
-
Die verschachtelte Mitgliedschaft spielt keine Rolle. Daher existiert aus Sicht von Entra ID die ABC-ADM Group als Mitglied von XYZ-NerdioSupport-Admin nicht. Nur User, die direkte Mitglieder der Gruppe XYZ-NerdioSupport-Admin sind, werden berücksichtigt. Da der User kein direktes Mitglied von XYZ-NerdioSupport-Admin ist, hat er keinen Zugriff auf die Workspaces C oder D.
-
Da der User ein direktes Mitglied sowohl der ABC-ADM Gruppe als auch der DEF-ADM Gruppe ist und beide Gruppen einer benutzerdefinierten Rolle zugewiesen sind, also derselben Berechtigungsebene gemäß Entra ID, entsprechen die effektiven Berechtigungen des Users der kumulativen Summe der Berechtigungen, die der ABC-ADM Gruppe und der DEF-ADM Gruppe zugewiesen sind.
Feature-Einschränkungen
In dieser ersten Version des kumulativen RBAC-Features gibt es einige funktionale Einschränkungen. Diese werden nach Möglichkeit in Zukunft behandelt.
-
Integrierte Rollen werden für dieses Feature nicht unterstützt. Es dürfen nur benutzerdefinierte Rollen verwendet werden.
-
Das Feature unterstützt nicht das Mischen verschiedener Zugriffsebenen für das Workspace-Modul über separate Zuweisungen hinweg. Sie können beispielsweise die Berechtigungen „Hosts verwalten“ und „Sitzungen verwalten“ im Workspace-Modul nicht über separate Zuweisungen mischen, da global nur eine Zugriffsebene für das Workspace-Modul unterstützt wird.
-
Sie können eingeschränkte Berechtigungen nicht mit Vollzugriff mischen, selbst wenn Sie den Scope auf bestimmte Workspaces beschränken, da die Benutzeroberfläche für Vollzugriff mit den festgelegten Limits in Konflikt stehen würde.
-
Sie können eingeschränkte Berechtigungen nicht mit Read Only mischen, selbst wenn Sie den Scope auf bestimmte Workspaces beschränken, da die Benutzeroberfläche für Read Only mit den festgelegten Limits in Konflikt stehen würde.
-
Der Maximalwert der unterstützten Zuweisungen beträgt 10. Zusätzliche Zuweisungen werden gefiltert.
Dieser Abschnitt erörtert die Situation, in der ein User möglicherweise Mitglied verschiedener Gruppen für Umgebungen vor v6.4 ist. Einige davon können direkte Zuweisungen oder eine verschachtelte Gruppenzuweisung sein.
-
Die Gruppen sind verschiedenen benutzerdefinierten Rollen zugewiesen. Zum Beispiel gewähren zwei Zuweisungen Zugriff auf Workspace A mit unterschiedlichen benutzerdefinierten Berechtigungen (das heißt, derselbe Workspace), und eine Zuweisung gewährt Zugriff auf die Workspaces B, C und D.
-
Wenn sich der User anmeldet, sieht er nur den Workspace A. Er sieht nicht die Workspaces B, C und D.
-
Tatsächlich möchten Sie, dass der User Zugriff auf alle Workspaces (A, B, C und D) hat.
Rechenkern-Berechtigungszuweisungsprinzipien
Im Folgenden werden die Rechenkernprinzipien erläutert, wie Berechtigungszuweisungen über Entra ID angewendet werden und wie Nerdio Manager diese interpretiert.
-
Die User-Zuweisung zu Entra ID-Anwendungen unterstützt keine verschachtelte Gruppenmitgliedschaft. Das heißt, User können nur direkt mit einer spezifischen Rollen- und Workspace-Kombination der Anwendung zugewiesen werden, oder sie können direktes Mitglied einer Gruppe sein, die der Anwendung zugewiesen ist. Die Zuweisung sowohl als User als auch als Gruppenmitglied wird unterstützt, aber Nerdio Manager priorisiert zuerst die User-Zuweisung (siehe unten).
-
Mitglieder einer Gruppe, die ein verschachteltes Mitglied einer anderen Gruppe ist, welche der Entra ID-Anwendung zugewiesen ist, werden nicht berücksichtigt. Dies ist ein Limit von Entra ID. Weitere Details finden Sie in diesem Microsoft-Artikel.
-
Die integrierten Standardrollen von Nerdio Manager sind in Stufen mit abnehmender Berechtigung angeordnet. Wenn ein User Mitglied von Gruppen mit mehreren gleichwertigen Rollenebenen ist, bietet Entra ID nur eine dieser Zuweisungen für Nerdio Manager an. Im Allgemeinen wird sie alphabetisch angeboten, sodass die Zuweisungen der ersten alphabetischen Gruppe in den meisten Situationen gelten, technisch gesehen kann die Verarbeitung jedoch in beliebiger Reihenfolge erfolgen.
Zusätzliche Prinzipien
-
Alle in Nerdio Manager erstellten benutzerdefinierten Rollen werden hinsichtlich der Rollenberechtigungen von Entra ID als auf derselben Ebene befindlich betrachtet. Nerdio Manager kann Berechtigungen nicht zusammenführen oder konsolidieren, um den Zugriff auf die umfangreichste Kombination von Berechtigungen zu ermöglichen.
-
Selbst wenn es eine benutzerdefinierte Rolle gäbe, die alle Berechtigungen aktiviert, und eine zweite Rolle, die nur eine einzige Berechtigung enthält, sind sie aus der Perspektive der Azure-Anwendung gleichwertig auf derselben Ebene, da beide als benutzerdefinierte Rolle betrachtet werden.
-
Eine direkte User-Zuweisung gilt als höchste Priorität. Daher umgeht jeder User, der direkt Nerdio Manager zugewiesen ist, alle alternativen Berechtigungen, die möglicherweise per Gruppe zugewiesen sind. User sollten jedoch nur eine einzige Zuweisung haben, da sie sonst denselben Verarbeitungsproblemen wie bei mehreren Gruppenmitgliedschaften unterliegen.
Beispielszenario
-
Das Konto eines Users ist Mitglied der ABC-ADM Group und der DEF-ADM Group.
-
ABC-ADM Gruppe ist unter der Gruppe XYZ-NerdioSupport-Admin verschachtelt.
-
ABC-ADM Gruppe ist dem Workspace A mit einer benutzerdefinierten Rolle in Nerdio Manager zugewiesen.
-
DEF-ADM Gruppe ist dem Workspace B mit einer benutzerdefinierten Rolle in Nerdio Manager zugewiesen.
-
XYZ-Nerdio-Support-Admin ist den Workspaces C und D als AVD-Administrator in Nerdio Manager zugewiesen.
-
Die verschachtelte Mitgliedschaft spielt keine Rolle. Daher existiert aus Sicht von Entra ID die ABC-ADM Gruppe als Mitglied von XYZ-Nerdio-Support-Admin nicht. Es werden nur User berücksichtigt, die direkte Mitglieder der Gruppe XYZ-Nerdio-Support-Admin sind. Da der User kein direktes Mitglied von XYZ-Nerdio-Support-Admin ist, hat er keinen Zugriff auf die Workspaces C oder D.
-
Da der User ein direktes Mitglied sowohl der ABC-ADM Gruppe als auch der DEF-ADM Gruppe ist und beide Gruppen einer benutzerdefinierten Rolle zugewiesen sind (daher dieselbe Berechtigungsebene gemäß Entra ID), sind die effektiven Berechtigungen des Users eine Glückssache zwischen den Workspaces/Pools, denen diese Gruppen zugewiesen sind. In diesem Beispiel ist das entweder Workspace A oder Workspace B.
-
Normalerweise erfolgt die Zuweisung alphabetisch, aber es gibt keine offizielle Definition dafür, wie dies von Entra ID interpretiert wird. Daher könnte der User heute den Workspace A sehen, der durch ABC-ADM Gruppe aktiviert wird. Morgen sieht der User möglicherweise Workspace B, der durch DEF-ADM Gruppe aktiviert wird. Entra ID nimmt die Auswertung vor und gewährt dem User Zugriff auf Nerdio Manager unter dieser Gruppe. Nerdio Manager sieht lediglich, dass sich ein Mitglied einer bestimmten Gruppe angemeldet hat, und erteilt die Berechtigungen entsprechend.
Anmerkung
Dies könnte auch auf zwei verschiedene RBAC-Rollenzuweisungen in Nerdio Manager zutreffen, bei denen zwei verschiedene Gruppen demselben Workspace (zum Beispiel Workspace A) zugewiesen sind, aber zwei unterschiedliche Definitionen für benutzerdefinierte Rollen aufweisen. Eine Zuweisung gewährt möglicherweise Berechtigungen für eine Reihe von Hostpools, während die andere Gruppe möglicherweise einer anderen Reihe von Hostpools zugewiesen ist.
Da alle benutzerdefinierten Rollen auf einer gleichwertigen Ebene liegen, können sich die spezifischen Hostpools, die für den User sichtbar sind, je nachdem ändern, welche Gruppenauswertung Entra ID bei der Anmeldung bei Nerdio Manager vornimmt.
Empfehlungen
Tipp
Befolgen Sie diese Empfehlungen, um eine klare und konsistente Darstellung zu gewährleisten.
-
Option #1: Ändern Sie entweder die Gruppenmitgliedschaft oder die Zuweisungen, die verwendet werden, um dem User Zugriff auf Nerdio Manager zu gewähren, sodass nur eine Gruppenmitgliedschaft mit einer einzigen benutzerdefinierten Rolle angewendet wird, die Zugriff auf alle erforderlichen Workspaces gewährt, zu denen der User berechtigt sein sollte.
Anmerkung
Wenn nicht mehrere Gruppen für Entra ID ausgewertet werden müssen, wird sichergestellt, dass nur die eine korrekte Zuweisung angewendet wird.
-
Option #2: Weisen Sie das Konto des User explizit und nicht als Gruppenmitgliedschaft direkt der benutzerdefinierten Rolle zu und gewähren Sie Zugriff auf alle Workspaces, zu denen eine Berechtigung bestehen sollte.
Anmerkung
Eine einzelne direkte Zuweisung stellt sicher, dass genau die erforderlichen Berechtigungen angewendet werden.
Tipp
Obwohl beide Lösungen funktionieren würden, empfehlen wir die Verwendung von Option Nr. 1. Dies hilft zu verhindern, dass die Berechtigungsliste mit einer großen Anzahl einzelner User überladen wird.
Kommentare (0 Kommentare)