Konfigurieren Sie zum Schluss die rollenbasierte Zugriffssteuerung (RBAC). So erhalten alle in Ihrem Team den passenden Zugriff auf Nerdio Manager: von Admins mit vollen Berechtigungen bis hin zu Helpdesk-Mitarbeitenden, die nur bestimmte Aufgaben ausführen müssen.
Anmerkung
Es gibt eine Entra ID-Einschränkung: Die Owner-Rolle für eine Enterprise-Anwendung wird nur automatisch einem direkten User zugewiesen und kann nicht mithilfe von Nerdio Manager einer Gruppe zugewiesen werden. Daher müssen Administratoren in Nerdio Manager direkt zugewiesen werden, damit Nerdio Manager die Owner-Rolle automatisch zuweist.
Sie können rollenbasierte Zugriffssteuerung (RBAC) verwenden, um Usern in Ihrer Organisation das Anmelden bei Nerdio Manager zu ermöglichen und zu steuern, welche Aktionen sie nach der Anmeldung ausführen können.
Die folgenden Rollen sind verfügbar:
-
AVD-Administrator: Ein User mit der Rolle „AVD-Administrator“ hat vollständigen Zugriff auf alle Bereiche von Nerdio Manager. Nur AVD-Administratoren können User und Rollen verwalten.
-
Desktop-Admin: Ein User mit der Rolle „Desktop-Admin“ hat vollständigen Zugriff auf Benutzersitzungen, die Möglichkeit, Hostpools anzuzeigen sowie Sitzungshosts ein-/auszuschalten und neu zu starten, hat jedoch nicht die Möglichkeit, Hosts hinzuzufügen oder zu entfernen oder Hostpool-Einstellungen zu ändern. Diese Rolle ermöglicht außerdem den vollständigen Zugriff auf Desktop-Images und Scripted Actions.
-
Helpdesk: Ein User mit der Rolle „Helpdesk“ hat nur Zugriff auf die Verwaltung von Benutzersitzungen.
-
Reviewer: Ein User mit der Rolle „Reviewer“ hat nur Anzeigezugriff auf alle Bereiche von Nerdio Manager. Sie können keine Bearbeitungen vornehmen und keine Änderungen speichern.
-
Endbenutzer: Ein User mit der Rolle „Endbenutzer“ kann seine eigenen Sitzungen anzeigen und verwalten (Nachricht senden, abmelden, Verbindung trennen). User persönlicher Desktops können ihre persönlichen Desktops neustarten, ausschalten und einschalten.
Weitere Informationen zu benutzerdefinierten Rollen finden Sie unter Benutzerdefinierte Rollen für die rollenbasierte Zugriffssteuerung (RBAC).
Nerdio Manager ermöglicht es Ihnen, die konfigurierten rollenbasierten Zugriffszuweisungen anzuzeigen.
So zeigen Sie RBAC-Rollenzuweisungen an:
-
Navigieren Sie zu System > RBAC > Zuweisungen. Die Liste der User und ihrer RBAC-Rollenzuweisungen wird angezeigt.
Anmerkung
-
Der Suchbereich oben ermöglicht Ihnen die Suche nach verschiedenen Feldern, einschließlich Name, Benutzername, Rolle und Workspace.
-
Sie können das System anweisen, bis zu 1.000 Zeilen auf einer einzigen Seite aufzulisten. Dies ist besonders nützlich, wenn Sie eine Liste von Endbenutzern betrachten, die oft Hunderte oder Tausende umfassen kann.
-
Wählen Sie den Abwärtspfeil neben Bearbeiten, um ein Aktionenmenü anzuzeigen.
Sie können User zu Rollen/Workspaces hinzufügen.
So fügen Sie User zu Rollen/Workspaces hinzu:
-
Navigieren Sie zu System > RBAC > Zuweisungen.
-
Gehen Sie wie folgt vor:
Wählen Sie Neue Zuweisung aus.
-
Geben Sie im Dialogfeld Rolle hinzufügen die folgenden Informationen ein:
-
Rolle: Wählen Sie aus der Dropdown-Liste eine Rolle aus.
-
User/Gruppen: Wählen Sie aus der Dropdown-Liste die User/Gruppen aus, denen Sie Zugriff gewähren möchten.
-
AVD-Tenant: Wählen Sie aus der Dropdown-Liste den/die AVD-Tenant(s) aus, denen Sie Zugriff gewähren möchten.
-
Workspace: Wählen Sie für Workspace-Rollen aus der Dropdown-Liste den/die Workspace(s) aus, auf den/die der User Zugriff haben soll.
-
Images: Wählen Sie für Desktop-Image-Rollen aus der Dropdown-Liste das/die Desktop-Image(s) aus, auf das/die der User Zugriff haben soll.
-
Hostpools: Wählen Sie für Hostpool-Rollen aus der Dropdown-Liste den/die Hostpool(s) aus, auf den/die der User Zugriff haben soll.
-
-
Sobald Sie alle gewünschten Informationen eingegeben haben, wählen Sie OK aus.
Anmerkung
-
Die Änderungen werden als Aufgabe protokolliert. Sie können den Status der Aufgabe überprüfen, um sicherzustellen, dass die Aufgabe erfolgreich abgeschlossen wurde.
-
Sobald der Zugriff gewährt wurde, können sich User mit ihrem Entra ID-Benutzernamen und Passwort bei Nerdio Manager anmelden. Teilen Sie dem User einfach die URL für Nerdio Manager aus der Adressleiste Ihres Browsers mit. Wenn MFA erzwungen wird, muss der User während der Anmeldung den MFA-Prozess durchlaufen.
-
Sie können die Rolle eines User oder die Workspaces, auf die der User Zugriff hat, ändern.
So bearbeiten Sie einen User:
-
Navigieren Sie zu System > RBAC > Zuweisungen.
-
Gehen Sie wie folgt vor:
Suchen Sie den User, den Sie bearbeiten möchten, und wählen Sie das Symbol „Bearbeiten“
.
-
Sobald Sie die Änderungen vorgenommen haben, wählen Sie OK.
Anmerkung
Die Änderungen werden als Aufgabe protokolliert. Sie können den Status der Aufgabe überprüfen, um sicherzustellen, dass die Aufgabe erfolgreich abgeschlossen wurde.
Sie können verhindern, dass ein User auf Nerdio Manager zugreift, indem Sie den Zugriff des Users entfernen.
So entfernen Sie den Zugriff eines User:
-
Navigieren Sie zu System > RBAC > Zuweisungen.
-
Gehen Sie wie folgt vor:
Suchen Sie den User, dem Sie den Zugriff entziehen möchten, und wählen Sie im Menü „Weitere Aktionen“
die Option Zugriff entfernen.
-
-
Wählen Sie im Bestätigungsfenster OK.
Anmerkung
Die Änderungen werden als Aufgabe protokolliert. Sie können den Status der Aufgabe überprüfen, um sicherzustellen, dass die Aufgabe erfolgreich abgeschlossen wurde.
Sie können benutzerdefinierte Rollendefinitionen erstellen, um den Zugriff auf alle Bereiche von Nerdio Manager zu steuern. Benutzerdefinierte Rollen definieren den Scope und die Zugriffsebene und können Usern und Sicherheitsgruppen zugewiesen werden. User können auf Module im Lesezugriffs- oder Verwaltungsmodus zugreifen.
So erstellen Sie eine benutzerdefinierte Rollendefinition:
-
Navigieren Sie zu System > RBAC > Definitionen.
-
Wählen Sie Neue Definition.
-
Geben Sie die folgenden Informationen ein:
-
Name: Geben Sie den Namen der benutzerdefinierten Rolle ein.
-
Beschreibung: Geben Sie eine Beschreibung der benutzerdefinierten Rolle ein.
-
Module: Wählen Sie alle zutreffenden Module und Modi aus.
Tabelle 1.
Module
Modi
OBSERVABILITY
Insights
-
Lesezugriff: Bietet Usern Lesezugriff auf die Insights-Dashboards.
-
Verwalten
Observability > Advisor > Modeler
-
Lesezugriff
-
Verwalten
Observability > Advisor > Empfehlungen
-
Lesezugriff
-
Verwalten
Observability > Advisor > Regeln
-
Lesezugriff
-
Verwalten
AVD UND SITZUNGEN
Workspaces
-
Lesezugriff
-
Verwalten
-
Hosts verwalten: Ermöglicht Usern das Verwalten von Hosts innerhalb zugewiesener Hostpools.
-
Zuweisungen verwalten: Ermöglicht Usern das Verwalten von Zuweisungen innerhalb zugewiesener Hostpools.
-
Sitzungen verwalten: Ermöglicht Usern, Sitzungen innerhalb zugewiesener Hostpools zu verwalten.
-
Betriebszustand verwalten: Ermöglicht Usern, den Betriebszustand von Sitzungen innerhalb zugewiesener Hostpools zu verwalten.
-
Drain-Modus verwalten: Ermöglicht Usern, den Drain-Modus für Sitzungen innerhalb zugewiesener Hostpools zu verwalten.
-
Scripted Actions ausführen: Ermöglicht Usern, Scripted Actions innerhalb zugewiesener Hostpools auszuführen.
-
Console Connect-Bediener: Ermöglicht Usern, Console Connect-Rollen zu verwalten.
Desktop-Images
-
Lesezugriff
-
Verwalten
App Attach
-
Lesezugriff
-
Verwalten
Portal
-
Verwalten
ENDPOINT MANAGEMENT
Intune (Globale Rollen)
-
Lesezugriff
-
Verwalten
Intune (Schreibgeschützte Rollen)
-
Geräte lesen
-
Richtlinien lesen
-
Anwendungen und App-Richtlinien lesen
-
Update-Ringe und Richtlinien lesen
-
Skripte lesen
-
Read BitLocker
-
Antivirus-Einstellungen lesen
-
Benutzererfahrung lesen
-
User-Gruppen lesen
-
Ort des Geräts lesen
-
Genehmigungen lesen
Intune (Rollen verwalten)
-
Geräte verwalten
-
Privilegierte Geräte verwalten
-
Manage BitLocker
-
Antivirus-Einstellungen verwalten
-
Gerätegruppen verwalten
-
User-Gruppen verwalten
-
„Gerät finden“ verwalten
-
Richtlinien verwalten
-
Anwendungen und App-Richtlinien verwalten
-
Update-Ringe und Richtlinien verwalten
-
Console Connect-Bediener
-
Genehmigungen verwalten
-
Skripte verwalten
-
Microsoft-Lizenzen verwalten
Intune > Windows 365
-
Lesezugriff
-
Verwalten
ANWENDUNGSVERWALTUNG (Unified Application Management)
Unified Application Management > Deployment-Richtlinien
-
Lesezugriff
-
Verwalten
Unified Application Management > Application Groups
-
Lesezugriff
-
Verwalten
Unified Application Management > Unified Catalog
-
Katalog lesen
-
Katalog verwalten: Ermöglicht Usern, Kataloge von Unified Application Management zu verwalten und Aufgaben wie das Importieren und Bereitstellen von Anwendungen auszuführen.
-
Shell-App-Parameter verwalten: Ermöglicht Usern das Verwalten von Shell-App-Parametern.
AUTOMATISIERUNG
Scripted Actions
-
Lesezugriff
-
Verwalten
Scripted Sequences
-
Lesezugriff
-
Verwalten
Scripted Sequences > Ausführungen
-
Lesezugriff
-
Verwalten
Task Worker Analytics
-
Lesezugriff
-
Verwalten
SPEICHER
Cloud-Desktops > Speicher > Azure Files
-
Lesezugriff
-
Verwalten
-
Profile verwalten: Ermöglicht Usern das Verwalten von FSLogix-Profilen, ohne dass eine aktive User-Sitzung erforderlich ist und ohne dass Vollzugriff auf die Datenfreigabe gewährt werden muss.
Cloud-Desktops > Speicher > Azure NetApp Files
-
Lesezugriff
-
Verwalten
Cloud-Desktops > Speicher > Log Analytics
-
Lesezugriff
-
Verwalten
VORGÄNGE
Monitoring
-
Lesezugriff
Protokolle
-
Lesezugriff
Migrieren
-
Lesezugriff
-
Verwalten
Sichere Variablen
-
Lesezugriff
-
Verwalten
-
Geheimnis anzeigen
-
-
-
Sobald Sie alle gewünschten Informationen eingegeben haben, wählen Sie OK aus.
Anmerkung
In der Liste der Definitionen können Sie eine benutzerdefinierte Rolle bearbeiten oder löschen.
Weitere Informationen finden Sie unter Rollenbasierte Zugriffssteuerung (RBAC) in Nerdio Manager.
Eine benutzerdefinierte Rolle hat kein Gegenstück in Microsoft Entra ID. Wenn Sie einem User eine benutzerdefinierte Rolle zuweisen, schreibt Nerdio Manager die Entra-App-Rollenzuweisung für die Nerdio Manager-Enterprise-Anwendung als Zuweisung der integrierten Rolle Endbenutzer, der integrierten Rolle mit den geringsten Berechtigungen nach dem Prinzip Least Privilege. Nerdio Manager erzwingt dann die Berechtigungen der benutzerdefinierten Rolle, wenn sich der User anmeldet. Infolgedessen sehen Sie in Entra ID nur die integrierten Rollen und können dort keine benutzerdefinierte Rolle anhand ihres Namens finden.
Damit Nerdio Manager diese Entra ID-Zuweisung automatisch vornehmen kann, muss die Nerdio Manager App-Registrierung über die Berechtigungen Application.ReadWrite.All und AppRoleAssignment.ReadWrite.All verfügen. Wenn diese Berechtigungen nicht erteilt wurden, weisen Sie dem User manuell die Rolle Endbenutzer zu, bevor Sie die benutzerdefinierte Rolle in Nerdio Manager zuweisen. Die Zuweisung der benutzerdefinierten Rolle funktioniert erst, wenn Sie dies getan haben.
So weisen Sie die Rolle „Endbenutzer“ manuell zu:
-
Navigieren Sie im Microsoft Entra Admin Center zu Enterprise-Anwendungen und wählen Sie Ihre Nerdio Manager Enterprise-Anwendung aus.
-
Wählen Sie Benutzer und Gruppen und dann Benutzer/Gruppe hinzufügen aus.
-
Wählen Sie den User und dann die Rolle Endbenutzer aus.
-
Wählen Sie Zuweisen aus.
Bei Verwendung eines der integrierten Konten wird der administrative Zugriff auf Nerdio Manager durch die Zuweisung einzelner Benutzer oder Gruppen zu der in Entra ID registrierten Anwendung von Nerdio Manager gesteuert. Ab Nerdio Manager v6.4 wurde die Unterstützung für kumulative RBAC für benutzerdefinierte Rollen eingeführt. Bitte lesen Sie dieses Dokument sorgfältig durch, um die Auswirkungen dieser Änderung zu verstehen. Details zum neuen und bisherigen Verhalten werden unten beschrieben.
Obwohl es für einen Benutzer möglich ist, durch mehrere Gruppenzugehörigkeiten zu Nerdio Manager berechtigt zu sein, ist dies bei Verwendung integrierter Konten oder einer Kombination aus integrierten Konten und benutzerdefinierten Rollen keine unterstützte Konfiguration. Es sollte darauf geachtet werden, dass Benutzer nur eine Zuweisung haben, die Zugriff auf Nerdio Manager gewährt, wenn integrierte Konten verwendet werden.
Anmerkung
Das hier beschriebene Verhalten ist der Standard für Neuinstallationen von Nerdio Manager. Bei bestehenden Installationen muss, falls kumulative RBAC-Funktionalität gewünscht ist, diese durch die App-Diensteinstellung Features:CumulativeRbac mit dem Wert True aktiviert werden.
Mit der Veröffentlichung von Nerdio Manager v6.4 wurde das Konzept der kumulativen RBAC für benutzerdefinierte Rollen eingeführt. Diese neue Funktionalität ermöglicht es, dass unterschiedliche Berechtigungen, die über separate individuelle Zuweisungen von Benutzer- oder Gruppenmitgliedschaften vergeben werden können, kumulativ innerhalb der Nerdio Manager-Konsole angewendet werden.
Wenn Konflikte innerhalb der zugewiesenen Rollen bestehen, wird die höhere Berechtigungszuweisung angewendet. Stellen Sie sicher, dass die Berechtigungen, die Sie Benutzern und Gruppen über benutzerdefinierte Rollen zuweisen, die Sicherheitsanforderungen Ihres Unternehmens erfüllen oder übertreffen.
Anmerkung
Mehrfache direkte Zuweisungen werden nicht unterstützt. Eine einzelne direkte Zuweisung kann mit mehreren indirekten (Gruppen-) Zuweisungen kombiniert werden. Diese neue Funktionalität gilt nur für benutzerdefinierte Rollen, die innerhalb der Nerdio Manager-Anwendung definiert sind. Integrierte Rollen sind von dieser neuen Funktionalität vollständig ausgeschlossen.
Grundlegende Prinzipien der Berechtigungszuweisung
Im Folgenden werden die Grundprinzipien erläutert, wie Berechtigungszuweisungen über Entra ID angewendet werden und wie Nerdio Manager diese interpretiert.
-
Benutzer können der Anwendung direkt mit einer spezifischen Kombination aus Rolle und Workspace zugewiesen werden, oder sie können direktes Mitglied einer Gruppe sein, der die Anwendung zugewiesen ist. Zuweisungen sowohl als User als auch als Gruppenmitglied werden unterstützt.
-
Mitglieder einer Gruppe, die ein verschachteltes Mitglied einer anderen Gruppe ist, welche der Entra ID-Anwendung zugewiesen ist, werden nicht berücksichtigt. Dies ist ein Limit von Entra ID. Weitere Details finden Sie in diesem Microsoft-Artikel.
-
Die integrierten Standardrollen von Nerdio Manager sind in Stufen mit abnehmender Berechtigung angeordnet. Wenn ein User Mitglied von Gruppen mit mehreren gleichwertigen integrierten Rollenebenen ist, stellt Entra ID nur eine dieser Zuweisungen für Nerdio Manager bereit. Im Allgemeinen erfolgt die Bereitstellung in alphabetischer Reihenfolge, sodass die Zuweisungen der ersten alphabetischen Gruppe in den meisten Situationen gelten, technisch gesehen kann die Verarbeitung jedoch in beliebiger Reihenfolge erfolgen.
Zusätzliche Prinzipien
-
Die benutzerdefinierten Rollen von Nerdio Manager bieten eine gefilterte Erfahrung auf Anwendungsebene. Daher bieten benutzerdefinierte Rollen die Möglichkeit, eine oder mehrere benutzerdefinierte Rollen per direkter Zuweisung oder Gruppenmitgliedschaft zuzuweisen, und diese Rollen werden innerhalb der Nerdio Manager-Anwendung kombiniert, um die umfangreichste Menge an Berechtigungen bereitzustellen.
-
Eine direkte Userzuweisung gilt als höchste Priorität. Daher wird jeder User, der direkt Nerdio Manager zugewiesen ist, vor anderen Berechtigungen zugewiesen, die möglicherweise durch Gruppen zugewiesen wurden.
Beispielszenario
-
Das Konto eines Users ist Mitglied der ABC-ADM Group und der DEF-ADM Group.
-
ABC-ADM Group ist unter der Gruppe XYZ-NerdioSupport-Admin verschachtelt.
-
ABC-ADM Group ist Workspace A mit einer benutzerdefinierten Rolle in Nerdio Manager zugewiesen.
-
DEF-ADM Group ist Workspace B mit einer benutzerdefinierten Rolle in Nerdio Manager zugewiesen.
-
XYZ-NerdioSupport-Admin ist den Workspaces C und D als AVD-Administrator in Nerdio Manager zugewiesen.
-
Die verschachtelte Mitgliedschaft spielt keine Rolle. Daher existiert aus Sicht von Entra ID die ABC-ADM Group als Mitglied von XYZ-NerdioSupport-Admin nicht. Nur User, die direkte Mitglieder der Gruppe XYZ-NerdioSupport-Admin sind, werden berücksichtigt. Da der User kein direktes Mitglied von XYZ-NerdioSupport-Admin ist, hat er keinen Zugriff auf die Workspaces C oder D.
-
Da der User ein direktes Mitglied sowohl der ABC-ADM Gruppe als auch der DEF-ADM Gruppe ist und beide Gruppen einer benutzerdefinierten Rolle zugewiesen sind, also derselben Berechtigungsebene gemäß Entra ID, entsprechen die effektiven Berechtigungen des Users der kumulativen Summe der Berechtigungen, die der ABC-ADM Gruppe und der DEF-ADM Gruppe zugewiesen sind.
Feature-Einschränkungen
In dieser ersten Version des kumulativen RBAC-Features gibt es einige funktionale Einschränkungen. Diese werden nach Möglichkeit in Zukunft behandelt.
-
Integrierte Rollen werden für dieses Feature nicht unterstützt. Es dürfen nur benutzerdefinierte Rollen verwendet werden.
-
Das Feature unterstützt nicht das Mischen verschiedener Zugriffsebenen für das Workspace-Modul über separate Zuweisungen hinweg. Sie können beispielsweise die Berechtigungen „Hosts verwalten“ und „Sitzungen verwalten“ im Workspace-Modul nicht über separate Zuweisungen mischen, da global nur eine Zugriffsebene für das Workspace-Modul unterstützt wird.
-
Sie können eingeschränkte Berechtigungen nicht mit Vollzugriff mischen, selbst wenn Sie den Scope auf bestimmte Workspaces beschränken, da die Benutzeroberfläche für Vollzugriff mit den festgelegten Limits in Konflikt stehen würde.
-
Sie können eingeschränkte Berechtigungen nicht mit Read Only mischen, selbst wenn Sie den Scope auf bestimmte Workspaces beschränken, da die Benutzeroberfläche für Read Only mit den festgelegten Limits in Konflikt stehen würde.
-
Der Maximalwert der unterstützten Zuweisungen beträgt 10. Zusätzliche Zuweisungen werden gefiltert.
Dieser Abschnitt erörtert die Situation, in der ein User möglicherweise Mitglied verschiedener Gruppen für Umgebungen vor v6.4 ist. Einige davon können direkte Zuweisungen oder eine verschachtelte Gruppenzuweisung sein.
-
Die Gruppen sind verschiedenen benutzerdefinierten Rollen zugewiesen. Zum Beispiel gewähren zwei Zuweisungen Zugriff auf Workspace A mit unterschiedlichen benutzerdefinierten Berechtigungen (das heißt, derselbe Workspace), und eine Zuweisung gewährt Zugriff auf die Workspaces B, C und D.
-
Wenn sich der User anmeldet, sieht er nur den Workspace A. Er sieht nicht die Workspaces B, C und D.
-
Tatsächlich möchten Sie, dass der User Zugriff auf alle Workspaces (A, B, C und D) hat.
Rechenkern-Berechtigungszuweisungsprinzipien
Im Folgenden werden die Rechenkernprinzipien erläutert, wie Berechtigungszuweisungen über Entra ID angewendet werden und wie Nerdio Manager diese interpretiert.
-
Die User-Zuweisung zu Entra ID-Anwendungen unterstützt keine verschachtelte Gruppenmitgliedschaft. Das heißt, User können nur direkt mit einer spezifischen Rollen- und Workspace-Kombination der Anwendung zugewiesen werden, oder sie können direktes Mitglied einer Gruppe sein, die der Anwendung zugewiesen ist. Die Zuweisung sowohl als User als auch als Gruppenmitglied wird unterstützt, aber Nerdio Manager priorisiert zuerst die User-Zuweisung (siehe unten).
-
Mitglieder einer Gruppe, die ein verschachteltes Mitglied einer anderen Gruppe ist, welche der Entra ID-Anwendung zugewiesen ist, werden nicht berücksichtigt. Dies ist ein Limit von Entra ID. Weitere Details finden Sie in diesem Microsoft-Artikel.
-
Die integrierten Standardrollen von Nerdio Manager sind in Stufen mit abnehmender Berechtigung angeordnet. Wenn ein User Mitglied von Gruppen mit mehreren gleichwertigen Rollenebenen ist, bietet Entra ID nur eine dieser Zuweisungen für Nerdio Manager an. Im Allgemeinen wird sie alphabetisch angeboten, sodass die Zuweisungen der ersten alphabetischen Gruppe in den meisten Situationen gelten, technisch gesehen kann die Verarbeitung jedoch in beliebiger Reihenfolge erfolgen.
Zusätzliche Prinzipien
-
Alle in Nerdio Manager erstellten benutzerdefinierten Rollen werden hinsichtlich der Rollenberechtigungen von Entra ID als auf derselben Ebene befindlich betrachtet. Nerdio Manager kann Berechtigungen nicht zusammenführen oder konsolidieren, um den Zugriff auf die umfangreichste Kombination von Berechtigungen zu ermöglichen.
-
Selbst wenn es eine benutzerdefinierte Rolle gäbe, die alle Berechtigungen aktiviert, und eine zweite Rolle, die nur eine einzige Berechtigung enthält, sind sie aus der Perspektive der Azure-Anwendung gleichwertig auf derselben Ebene, da beide als benutzerdefinierte Rolle betrachtet werden.
-
Eine direkte User-Zuweisung gilt als höchste Priorität. Daher umgeht jeder User, der direkt Nerdio Manager zugewiesen ist, alle alternativen Berechtigungen, die möglicherweise per Gruppe zugewiesen sind. User sollten jedoch nur eine einzige Zuweisung haben, da sie sonst denselben Verarbeitungsproblemen wie bei mehreren Gruppenmitgliedschaften unterliegen.
Beispielszenario
-
Das Konto eines Users ist Mitglied der ABC-ADM Group und der DEF-ADM Group.
-
ABC-ADM Gruppe ist unter der Gruppe XYZ-NerdioSupport-Admin verschachtelt.
-
ABC-ADM Gruppe ist dem Workspace A mit einer benutzerdefinierten Rolle in Nerdio Manager zugewiesen.
-
DEF-ADM Gruppe ist dem Workspace B mit einer benutzerdefinierten Rolle in Nerdio Manager zugewiesen.
-
XYZ-Nerdio-Support-Admin ist den Workspaces C und D als AVD-Administrator in Nerdio Manager zugewiesen.
-
Die verschachtelte Mitgliedschaft spielt keine Rolle. Daher existiert aus Sicht von Entra ID die ABC-ADM Gruppe als Mitglied von XYZ-Nerdio-Support-Admin nicht. Es werden nur User berücksichtigt, die direkte Mitglieder der Gruppe XYZ-Nerdio-Support-Admin sind. Da der User kein direktes Mitglied von XYZ-Nerdio-Support-Admin ist, hat er keinen Zugriff auf die Workspaces C oder D.
-
Da der User ein direktes Mitglied sowohl der ABC-ADM Gruppe als auch der DEF-ADM Gruppe ist und beide Gruppen einer benutzerdefinierten Rolle zugewiesen sind (daher dieselbe Berechtigungsebene gemäß Entra ID), sind die effektiven Berechtigungen des Users eine Glückssache zwischen den Workspaces/Pools, denen diese Gruppen zugewiesen sind. In diesem Beispiel ist das entweder Workspace A oder Workspace B.
-
Normalerweise erfolgt die Zuweisung alphabetisch, aber es gibt keine offizielle Definition dafür, wie dies von Entra ID interpretiert wird. Daher könnte der User heute den Workspace A sehen, der durch ABC-ADM Gruppe aktiviert wird. Morgen sieht der User möglicherweise Workspace B, der durch DEF-ADM Gruppe aktiviert wird. Entra ID nimmt die Auswertung vor und gewährt dem User Zugriff auf Nerdio Manager unter dieser Gruppe. Nerdio Manager sieht lediglich, dass sich ein Mitglied einer bestimmten Gruppe angemeldet hat, und erteilt die Berechtigungen entsprechend.
Anmerkung
Dies könnte auch auf zwei verschiedene RBAC-Rollenzuweisungen in Nerdio Manager zutreffen, bei denen zwei verschiedene Gruppen demselben Workspace (zum Beispiel Workspace A) zugewiesen sind, aber zwei unterschiedliche Definitionen für benutzerdefinierte Rollen aufweisen. Eine Zuweisung gewährt möglicherweise Berechtigungen für eine Reihe von Hostpools, während die andere Gruppe möglicherweise einer anderen Reihe von Hostpools zugewiesen ist.
Da alle benutzerdefinierten Rollen auf einer gleichwertigen Ebene liegen, können sich die spezifischen Hostpools, die für den User sichtbar sind, je nachdem ändern, welche Gruppenauswertung Entra ID bei der Anmeldung bei Nerdio Manager vornimmt.
Empfehlungen
Tipp
Befolgen Sie diese Empfehlungen, um eine klare und konsistente Darstellung zu gewährleisten.
-
Option #1: Ändern Sie entweder die Gruppenmitgliedschaft oder die Zuweisungen, die verwendet werden, um dem User Zugriff auf Nerdio Manager zu gewähren, sodass nur eine Gruppenmitgliedschaft mit einer einzigen benutzerdefinierten Rolle angewendet wird, die Zugriff auf alle erforderlichen Workspaces gewährt, zu denen der User berechtigt sein sollte.
Anmerkung
Wenn nicht mehrere Gruppen für Entra ID ausgewertet werden müssen, wird sichergestellt, dass nur die eine korrekte Zuweisung angewendet wird.
-
Option #2: Weisen Sie das Konto des User explizit und nicht als Gruppenmitgliedschaft direkt der benutzerdefinierten Rolle zu und gewähren Sie Zugriff auf alle Workspaces, zu denen eine Berechtigung bestehen sollte.
Anmerkung
Eine einzelne direkte Zuweisung stellt sicher, dass genau die erforderlichen Berechtigungen angewendet werden.
Tipp
Obwohl beide Lösungen funktionieren würden, empfehlen wir die Verwendung von Option Nr. 1. Dies hilft zu verhindern, dass die Berechtigungsliste mit einer großen Anzahl einzelner User überladen wird.
Kommentare (0 Kommentare)