azure-rbac
Attribuer des rôles RBAC Azure avec le moindre privilège
Cette compétence aide les administrateurs Azure à trouver le rôle RBAC minimal nécessaire pour des permissions spécifiques et génère les commandes CLI et le code Bicep pour l'attribuer de manière sécurisée.
Télécharger le ZIP du skill
Importer dans Claude
Allez dans Paramètres → Capacités → Skills → Importer un skill
Activez et commencez à utiliser
Tester
Utilisation de "azure-rbac". Quel rôle dois-je attribuer pour qu'une identité managée lise des blobs ?
Résultat attendu:
- Storage Blob Data Reader (preview) est le rôle intégré recommandé pour l'accès en lecture seule au stockage blob.
- Portée de la ressource : Le rôle peut être attribué au niveau du compte de stockage, du conteneur ou du blob.
- Pour le moindre privilège, attribuez au niveau du conteneur spécifique plutôt que l'ensemble du compte de stockage.
Utilisation de "azure-rbac". Générer du code Bicep pour attribuer un rôle à un principal de service
Résultat attendu:
- resource roleAssignment 'Microsoft.Authorization/roleAssignments@2022-04-01' = { name: guid(subscription().id, servicePrincipalId, roleDefinitionId) properties: { principalId: servicePrincipalId roleDefinitionId: roleDefinitionId principalType: 'ServicePrincipal' } }
Audit de sécurité
SûrStatic analysis flagged 4 instances of 'Weak cryptographic algorithm' at SKILL.md lines 3 and 8. These are FALSE POSITIVES. Line 3 contains YAML syntax (description: >-) for multiline strings. Line 8 references Azure MCP tools (azure__documentation, azure__extension_cli_generate). The skill is a legitimate Microsoft Azure RBAC helper that recommends least-privilege roles and generates infrastructure code.
Motifs détectés
Score de qualité
Ce que vous pouvez construire
Accorder l'accès en lecture au stockage blob
Trouver le rôle minimal nécessaire pour qu'un principal de service lise les blobs dans un compte de stockage spécifique
Créer un rôle personnalisé pour les permissions d'API
Définir un rôle RBAC personnalisé avec des permissions d'API spécifiques lorsque les rôles intégrés sont trop larges
Automatiser l'attribution de rôles dans CI/CD
Générer du code Bicep pour les attributions de rôles qui peuvent être déployées via Azure DevOps ou GitHub Actions
Essayez ces prompts
Quel est le rôle RBAC minimal nécessaire pour lire les blobs dans un compte Azure Storage ?
Quel rôle RBAC dois-je attribuer à une identité managée pour qu'elle puisse lister les machines virtuelles dans un groupe de ressources ?
Générez la commande Azure CLI pour attribuer le rôle Storage Blob Data Reader à une identité managée affectée par l'utilisateur sur un compte de stockage.
Créez une définition de rôle RBAC personnalisé qui permet la lecture et la liste sur les conteneurs et blobs de stockage, mais pas les opérations de suppression ou d'écriture.
Bonnes pratiques
- Attribuez toujours les rôles à la portée la plus étroite possible (ressource ou groupe de ressources vs abonnement)
- Utilisez des rôles intégrés lorsque c'est possible au lieu de rôles personnalisés pour une maintenance plus facile
- Documentez la justification métier pour chaque attribution de rôle
Éviter
- Attribuer des rôles Owner ou Contributor lorsque des rôles plus spécifiques sont disponibles
- Attribuer des rôles au niveau de l'abonnement ou du groupe d'administration lorsque la portée au niveau de la ressource suffirait
- Utiliser des permissions wildcard (*) dans les définitions de rôles personnalisés