Azure SRE 에이전트의 에이전트 권한

모든 에이전트에는 UAMI(사용자 할당 관리 ID) 가 있으며 이 ID와 함께 자동으로 생성됩니다. 에이전트는 이 UAMI를 사용하여 Azure 리소스를 인증하고 상호 작용합니다. 비밀 또는 자격 증명을 관리할 필요 없이 사용자를 대신하여 작동합니다.

권한 수준

에이전트를 만드는 동안 선택한 리소스 그룹의 UAMI에 할당되는 RBAC 역할을 결정하는 권한 수준을 선택합니다.

미리 구성된 역할(항상 할당됨)

선택한 수준에 관계없이 다음 역할은 항상 할당됩니다.

Privileged를 선택하면 에이전트는 관리되는 리소스 그룹에서 검색한 리소스 유형(예: 리소스 그룹에 Azure Container Apps 리소스가 포함된 경우 Container App Contributor)에 따라 추가 기여자 역할을 가져옵니다.

기본 상태

에이전트를 만들 때 리소스 그룹을 할당하지 않으면 관리 ID에 권한이 없습니다. 에이전트가 모든 작업을 수행할 수 있도록 명시적으로 액세스 권한을 부여해야 합니다.

리소스에 대한 액세스 권한 부여

에이전트에 리소스 그룹을 할당한 다음 관리 ID에 RBAC 역할을 부여합니다.

# Grant Reader access to a resource group (view resources, query logs)
az role assignment create \
  --assignee <AGENT_MANAGED_IDENTITY_ID> \
  --role Reader \
  --scope /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP_NAME>

# Grant Reader access to entire subscription (for broader visibility)
az role assignment create \
  --assignee <AGENT_MANAGED_IDENTITY_ID> \
  --role Reader \
  --scope /subscriptions/<SUBSCRIPTION_ID>

# Grant Contributor access to a resource group (modify resources)
az role assignment create \
  --assignee <AGENT_MANAGED_IDENTITY_ID> \
  --role Contributor \
  --scope /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP_NAME>

권한 수정

관리되는 리소스 그룹에 대한 IAM 설정을 업데이트하여 언제든지 UAMI의 권한을 조정할 수 있습니다.

• 더 많은 액세스 권한 부여: 리소스 그룹의 IAM 설정에 역할 할당을 추가합니다.
• 리소스 그룹을 추가합니다. 에이전트 범위에 리소스 그룹을 추가하면 UAMI의 역할이 자동으로 할당됩니다.
• 리소스 그룹을 제거합니다. 리소스 그룹을 제거하면 리소스 그룹에 대한 모든 액세스 권한이 취소됩니다.

사용 권한 흐름

에이전트가 작업을 수행해야 하는 경우 특정 권한 흐름을 따릅니다.

이 흐름은 대화형 채팅, 인시던트 스레드, 예약된 실행 및 자율 작업을 포함하여 에이전트가 수행하는 모든 작업에 적용됩니다.

OBO(On-Behalf-Of)

관리형 ID가 해당 작업에 필요한 권한이 없을 때, 에이전트는 on-behalf-of 흐름을 통해 일시적으로 사용자 의 권한을 사용할 수 있습니다. 이 상황은 Reader 권한 수준을 선택한 경우에 특히 일반적입니다. 에이전트는 읽기 권한이 있지만 쓰기 작업을 수행하려면 자격 증명이 필요합니다.

예시

에이전트에 컨테이너 앱의 크기를 조정하도록 요청하지만 관리 ID에는 쓰기 권한이 없습니다.

에이전트는 자격 증명을 사용하여 작업을 완료하여 권한을 부여하라는 메시지를 표시합니다. 사용 권한은 유지되지 않고 에이전트는 작업이 완료된 후 관리 ID를 사용하여 돌아갑니다.

OBO를 사용하는 경우

관련 콘텐츠