产品文档
Citrix Virtual Apps and Desktops 7 2311
查看 PDF

连接到 微软 Azure

June 2, 2026
投稿者: 
C C

创建和管理连接和资源 介绍了创建连接的向导。以下信息涵盖了 Azure Resource Manager 云环境的特定详细信息。

注意：

在创建到 Microsoft Azure 的连接之前，您必须完成将 Azure 帐户设置为资源位置的设置。请参阅 Microsoft Azure Resource Manager 云环境。

创建服务主体和连接配置

在创建连接之前，必须设置连接用于访问 Azure 资源的服务主体。您可以通过两种方式创建连接：

  • 使用 Web Studio 同时创建服务主体和连接
  • 使用先前创建的服务主体来创建连接

本节介绍如何完成以下任务：

注意事项

  • Citrix® 建议使用具有参与者角色的服务主体。但是，请参阅 最低权限 部分以获取最低权限列表。
  • 首次创建连接时，Azure 会提示您授予其必要的权限。对于将来的连接，您仍然需要进行身份验证，但 Azure 会记住您之前的同意，并且不会再次显示提示。
  • 用于身份验证的帐户必须是订阅的协管理员。
  • 用于身份验证的帐户必须是订阅目录的成员。需要注意两种类型的帐户：“工作或学校”帐户和“个人 Microsoft 帐户”。有关详细信息，请参阅 CTX219211。

  • 虽然您可以通过将现有 Microsoft 帐户添加为订阅目录的成员来使用它，但如果该用户之前被授予对目录某个资源的来宾访问权限，则可能会出现问题。在这种情况下，他们可能在目录中有一个占位符条目，该条目未授予他们必要的权限，并且会返回错误。

    通过从目录中删除资源并明确地重新添加它们来纠正此问题。但是，请谨慎使用此选项，因为它会对帐户可以访问的其他资源产生意外影响。

  • 存在一个已知问题，即某些帐户在实际是成员的情况下被检测为目录来宾。此类配置通常发生在较旧的已建立目录帐户中。解决方法：向目录添加一个帐户，该帐户将采用正确的成员资格值。
  • 资源组只是资源的容器，它们可以包含来自其自身区域以外的区域的资源。如果您期望资源组区域中显示的资源可用，这可能会造成混淆。
  • 确保您的网络和子网足够大，可以容纳您所需的计算机数量。这需要一些远见，但 Microsoft 会根据地址空间容量提供指导，帮助您指定正确的值。

使用 Web Studio 创建服务主体和连接

重要提示：

此功能尚不适用于 Azure 中国订阅。

使用 Web Studio，您可以在单个工作流中创建服务主体和连接。服务主体授予连接访问 Azure 资源的权限。当您向 Azure 进行身份验证以创建服务主体时，会在 Azure 中注册一个应用程序。为注册的应用程序创建一个密钥（称为客户端密钥或应用程序密钥）。注册的应用程序（在本例中为连接）使用客户端密钥向 Azure AD 进行身份验证。

开始之前，请确保您已满足以下先决条件：

  • 您的订阅的 Azure Active Directory 租户中有一个用户帐户。
  • 该 Azure AD 用户帐户也是您要用于预配资源的 Azure 订阅的协管理员。
  • 您拥有用于身份验证的全局管理员、应用程序管理员或应用程序开发人员权限。创建主机连接后，可以撤销这些权限。有关角色的更多信息，请参阅Azure AD 内置角色。

使用添加连接和资源向导一起创建服务主体和连接：

  1. 在连接页面上，选择创建新连接、Microsoft Azure连接类型和您的 Azure 环境。

  2. 选择用于创建虚拟机的工具，然后选择下一步。

  3. 在连接详细信息页面上，输入您的 Azure 订阅 ID 和连接名称。输入订阅 ID 后，创建新按钮将启用。

    注意：

    连接名称可以包含 1–64 个字符，不能只包含空格或字符 \/;:#.*?=<>|[]{}"'()'。

  4. 选择创建新，然后输入 Azure Active Directory 帐户用户名和密码。

  5. 选择登录。

  6. 选择接受，以授予 Citrix Virtual Apps and Desktops™ 所列权限。此操作将创建一个服务主体，允许其代表指定用户管理 Azure 资源。

  7. 选择接受后，您将返回向导中的连接页面。

    注意：

    成功通过 Azure 身份验证后，创建新和使用现有按钮将消失。连接成功文本将显示，并带有一个绿色复选标记，表示已成功连接到您的 Azure 订阅。

  8. 在连接详细信息页面上，选择下一步。

    注意：

    您必须成功通过 Azure 身份验证并同意授予所需权限后，才能继续到下一页。

  9. 配置连接所需的资源。这些资源由区域和网络组成。

    • 在区域页面上，选择一个区域。
    • 在网络页面上，执行以下操作：
      • 键入一个 1-64 个字符的资源名称，以帮助识别区域和网络组合。资源名称不能只包含空格，也不能包含字符 \/;:#.*?=<>|[]{}"'()'。
      • 选择一个虚拟网络/资源组对。（如果您有多个同名虚拟网络，将网络名称与资源组配对可提供唯一的组合。）如果您在上一页选择的区域没有任何虚拟网络，请返回该页并选择一个具有虚拟网络的区域。

  10. 在摘要页面上，查看设置摘要并选择完成以完成设置。

查看应用程序 ID

创建连接后，您可以查看该连接用于访问 Azure 资源的应用程序 ID。

在添加连接和资源列表中，选择连接以查看详细信息。详细信息选项卡显示应用程序 ID。

使用 PowerShell 创建服务主体

要使用 PowerShell 创建服务主体，请连接到您的 Azure Resource Manager 订阅，并使用以下各节中提供的 PowerShell 命令行管理程序。

请确保您已准备好以下各项：

  • 订阅 ID： 您要预配 VDA 的订阅的 Azure 资源管理器 SubscriptionID。
  • ActiveDirectoryID：您在 Azure 活动目录中注册的应用程序的租户 ID。
  • ApplicationName：在 Azure 活动目录中创建的应用程序的名称。

详细的步骤如下所示：

连接到您的 Azure 资源管理器订阅。

`Connect-AzAccount`

  1. 选择要在其中创建服务主体的 Azure Resource Manager 订阅。

    Get-AzSubscription -SubscriptionId $subscriptionId | Select-AzSubscription

  2. 在您的 AD 租户中创建应用程序。

    $AzureADApplication = New-AzADApplication -DisplayName $ApplicationName

  3. 创建服务主体。

    New-AzADServicePrincipal -ApplicationId $AzureADApplication.AppId

  4. 为服务主体分配角色。

    New-AzRoleAssignment -RoleDefinitionName Contributor -ServicePrincipalName $AzureADApplication.AppId –scope /subscriptions/$SubscriptionId

  5. 从 PowerShell 控制台的输出窗口中，记下 ApplicationId。在创建主机连接时提供该 ID。

获取 Azure 中的应用程序机密

要使用现有服务主体创建连接，您必须首先在 Azure 门户中获取服务主体的应用程序 ID 和机密。

详细的步骤如下所示：

  1. 从 Web Studio 界面或使用 PowerShell 命令获取 应用程序 ID。
  2. 登录 Azure 门户。
  3. 在 Azure 中，选择 Azure 活动目录。
  4. 在 Azure AD 的 应用注册 中，选择您的应用程序。
  5. 转到 证书和机密。
  6. 单击 客户端机密。

如何使用现有服务主体创建连接

如果您已有服务主体，则可以使用它通过 Web Studio 创建连接。

请确保您已准备好以下各项：

  • 订阅 ID
  • 活动目录 ID（租户 ID）
  • 应用程序 ID

  • 应用程序机密

    有关详细信息，请参阅获取应用程序机密。

  • 机密过期日期

详细步骤如下所示：

在“添加连接和资源”向导中：

  1. 在“连接”页面上，选择“创建新连接”、“Microsoft Azure”连接类型和您的 Azure 环境。

  2. 选择用于创建虚拟机的工具，然后选择“下一步”。

  3. 在“连接详细信息”页面上，输入您的 Azure 订阅 ID 和连接名称。

    注意：

    连接名称可以包含 1–64 个字符，不能只包含空格，也不能包含字符 \/;:#.*?=<>|[]{}"'()'。

  4. 选择“使用现有”。在“现有服务主体详细信息”窗口中，输入现有服务主体的以下设置。输入详细信息后，“保存”按钮将启用。选择“保存”。在提供有效详细信息之前，您无法继续此页面。

    • 订阅 ID。输入您的 Azure 订阅 ID。要获取订阅 ID，请登录 Azure 门户并导航到“订阅 > 概述”。
    • Active Directory ID（租户 ID）。输入您在 Azure AD 中注册的应用程序的目录（租户）ID。
    • 应用程序 ID。输入您在 Azure AD 中注册的应用程序的应用程序（客户端）ID。
    • 应用程序密钥。创建密钥（客户端密钥）。注册的应用程序使用该密钥向 Azure AD 进行身份验证。我们建议您出于安全目的定期更改密钥。请务必保存密钥，因为以后无法检索该密钥。

    • 密钥到期日期。输入应用程序密钥的到期日期。在密钥到期前 14 天，您会在“托管”节点中的特定主机连接上看到警告图标。但是，如果密钥到期，您将收到错误。

      注意：

      出于安全目的，到期期限不能从现在起超过两年。

    • 身份验证 URL。此字段自动填充且不可编辑。
    • 管理 URL。此字段自动填充且不可编辑。

    • 存储后缀。此字段自动填充且不可编辑。

      在 Azure 中创建 MCS 目录需要访问以下终结点。访问这些终结点可优化您的网络与 Azure 门户及其服务之间的连接。

  5. 选择 保存 后，您将返回到 连接详细信息 页面。选择 下一步 以继续到下一页。

  6. 配置用于建立连接的资源。这些资源主要包括区域和网络设置。

    • 在 区域 页面上，选择一个区域。
    • 在 网络 页面上，执行以下操作：
      • 键入 1-64 个字符的资源名称，以帮助识别区域和网络组合。资源名称不能只包含空格，也不能包含字符 \/;:#.*?=<>|[]{}"'()'。
      • 选择一个虚拟网络/资源组对。（如果您有多个同名虚拟网络，将网络名称与资源组配对可提供唯一的组合。）如果您在上一页选择的区域没有任何虚拟网络，请返回该页面并选择一个具有虚拟网络的区域。

  7. 在 摘要 页面上，查看设置摘要并选择 完成 以完成设置。

对服务主体和连接进行管理

本节详细介绍了如何管理服务主体和连接：

配置 Azure 限制设置

Azure Resource Manager 会限制对订阅和租户的请求，根据定义的限制路由流量，这些限制是根据提供商的特定需求量身定制的。有关详细信息，请参阅 Microsoft 网站上的限制 Resource Manager 请求。订阅和租户存在限制，管理许多计算机可能会出现问题。例如，包含许多计算机的订阅可能会遇到与电源操作相关的性能问题。

提示：

有关详细信息，请参阅使用机器创建服务提高 Azure 性能。

为帮助缓解这些问题，您可以移除 MCS 内部限制，以使用更多 Azure 提供的可用请求配额。

在大型订阅（例如包含 1,000 个 VM 的订阅）中打开或关闭 VM 时，我们建议使用以下最佳设置：

  • 绝对并发操作：500
  • 每分钟最大新操作数：2000
  • 最大操作并发数：500

使用 Web Studio 控制台 为给定的 Azure 连接配置 Azure 操作：

  1. 在 Web Studio 中，选择左侧窗格中的托管。
  2. 选择所需的连接。
  3. 在编辑连接向导中，选择高级。
  4. 在高级页面上，使用配置选项指定每分钟的并发操作数和最大新操作数，以及任何其他连接选项。

微软 Azure 节流

MCS 默认支持 500 个最大并发操作。或者，您可以使用远程 PowerShell SDK 设置最大并发操作数。

使用 PowerShell 属性 MaximumConcurrentProvisioningOperations 指定最大并发 Azure 预配操作数。使用此属性时，请考虑：

  • MaximumConcurrentProvisioningOperations 的默认值为 500。
  • 使用 PowerShell 命令 Set-item 配置 MaximumConcurrentProvisioningOperations 参数。

在 Azure 中启用映像共享

创建或更新计算机目录时，您可以从不同的 Azure 租户和订阅中选择共享映像（通过 Azure 计算库共享）。要在租户内部或跨租户启用映像共享，您必须在 Azure 中进行必要的设置：

在租户内（跨订阅）共享映像

如果要在属于其他订阅的 Azure 计算库中选择映像，则必须与该订阅的服务主体 (SPN) 共享该映像。

例如，如果存在一个服务主体 (SPN 1)，其在 Studio 中的配置如下：

服务主体：SPN 1

订阅：订阅 1

租户：租户 1

映像位于不同的订阅中，其在 Studio 中的配置如下：

订阅：订阅 2

租户：租户 1

如果要将订阅 2 中的映像与订阅 1 (SPN 1) 共享，请转到订阅 2，并将资源组与 SPN1 共享。

必须使用 Azure 基于角色的访问控制 (RBAC) 与另一个 SPN 共享映像。Azure RBAC 是用于管理对 Azure 资源的访问的授权系统。有关 Azure RBAC 的更多信息，请参阅 Microsoft 文档 什么是 Azure 基于角色的访问控制 (Azure RBAC)。要授予访问权限，您需要以“参与者”角色在资源组范围为服务主体分配角色。要分配 Azure 角色，您必须具有 Microsoft.Authorization/roleAssignments/write 权限，例如“用户访问管理员”或“所有者”。有关与另一个 SPN 共享映像的更多信息，请参阅 Microsoft 文档 使用 Azure 门户分配 Azure 角色。

有关使用 PowerShell 命令从不同订阅中选择映像的信息，请参阅 从不同订阅中选择映像。

跨租户共享映像

要使用 Azure 计算库跨租户共享映像，请创建应用程序注册。

例如，如果存在两个租户（租户 1 和租户 2），并且您希望与租户 1 共享映像库，则：

  1. 为租户 1 创建应用程序注册。有关更多信息，请参阅 创建应用注册。

  2. 通过使用浏览器请求登录，授予租户 2 对应用程序的访问权限。将 Tenant2 ID 替换为租户 1 的租户 ID。将 Application (client) ID 替换为您创建的应用程序注册的应用程序 ID。完成替换后，将 URL 粘贴到浏览器中，然后按照登录提示登录到租户 2。例如：

    https://login.microsoftonline.com/<Tenant 2 ID>/oauth2/authorize?client_id=<Application (client) ID>&response_type=code&redirect_uri=https%3A%2F%2Fwww.microsoft.com%2F
<!--NeedCopy-->

    有关详细信息，请参阅授予租户 2 访问权限。

  3. 授予应用程序对租户 2 资源组的访问权限。以租户 2 身份登录，并授予应用程序注册对包含库映像的资源组的访问权限。有关详细信息，请参阅跨租户验证请求。

要使用 PowerShell 命令从其他租户的映像创建目录，请执行以下操作：

  1. 使用共享租户 ID 更新托管连接自定义属性。
  2. 从其他租户选择映像。

使用完整配置将共享租户添加到连接

在 Web Studio 中创建或更新计算机目录时，您可以从不同的 Azure 租户和订阅中选择共享映像（通过 Azure 计算库共享）。此功能要求您为关联的主机连接提供共享租户和订阅信息。

注意：

请确保您已在 Azure 中配置了必要的设置，以启用跨租户的映像共享。有关详细信息，请参阅跨租户共享映像。

对于连接，请完成以下步骤：

  1. 在 Web Studio 中，在左侧窗格中选择托管。

  2. 选择连接，然后在操作栏中选择编辑连接。

    共享租户

  3. 在共享租户中，执行以下操作：

    • 提供与连接订阅关联的应用程序 ID 和应用程序密钥。Citrix Virtual Apps and Desktops 使用此信息向 Azure AD 进行身份验证。
    • 添加与连接订阅共享 Azure Compute Gallery 的租户和订阅。每个租户最多可以添加 8 个共享租户和 8 个订阅。
  4. 完成后，选择 Apply（应用）以应用所做的更改并保持窗口打开，或者选择 OK（确定）以应用更改并关闭窗口。

使用 PowerShell 实现映像共享

本节将指导您完成使用 PowerShell 共享映像的过程：

从另一个订阅中选择一个映像

您可以在同一 Azure 租户中选择属于不同共享订阅的 Azure Compute Gallery 中的映像，以使用 PowerShell 命令创建和更新 MCS 目录。

  1. 在托管单元根文件夹中，Citrix 会创建一个名为 sharedsubscription 的新共享订阅文件夹。

  2. 列出租户中的所有共享订阅。

    Get-ChildItem -Path "XDhyp:\HostingUnits\azres\sharedsubscription.folder"
<!--NeedCopy-->

  3. 选择一个共享订阅，然后列出该共享订阅的所有共享资源组。

    Get-ChildItem -Path "XDhyp:\HostingUnits\azres\image.folder\abc123.sharedsubscription"
<!--NeedCopy-->

  4. 选择一个资源组，然后列出该资源组的所有库。

    Get-ChildItem -Path "XDhyp:\HostingUnits\azres\image.folder\abc123.sharedsubscription\ xyz.resourcegroup"
<!--NeedCopy-->

  5. 选择一个库，然后列出该库的所有映像定义。

    Get-ChildItem -Path "XDhyp:\HostingUnits\azres\image.folder\abc123.sharedsubscription\xyz.resourcegroup\testgallery.gallery"
<!--NeedCopy-->

  6. 选择一个映像定义，然后列出该映像定义的所有映像版本。

    Get-ChildItem -Path "XDhyp:\HostingUnits\azres\image.folder\abc123.sharedsubscription\xyz.resourcegroup\sigtestdef.imagedefinition"
<!--NeedCopy-->

  7. 使用以下元素创建和更新 MCS 目录：

    • 资源群组
    • 库
    • 图库映像定义
    • 图库映像版本

    有关如何使用远程 PowerShell SDK 创建目录的信息，请参阅 https://developer-docs.citrix.com/projects/citrix-virtual-apps-desktops-sdk/en/latest/creating-a-catalog/。

使用共享租户 ID 更新托管连接自定义属性

使用 Set-Item 更新托管连接自定义属性，其中包含共享租户 ID 和订阅 ID。在 CustomProperties 中添加属性 SharedTenants。Shared Tenants 的格式为：

[{"Tenant":"94367291-119e-457c-bc10-25337231f7bd","Subscriptions":["7bb42f40-8d7f-4230-a920-be2781f6d5d9"]},{"Tenant":"50e83564-c4e5-4209-b43d-815c45659564","Subscriptions":["06ab8944-6a88-47ee-a975-43dd491a37d0"]}]
<!--NeedCopy-->

例如：

Set-Item -CustomProperties "<CustomProperties xmlns=`"http://schemas.citrix.com/2014/xd/machinecreation`" xmlns:xsi=`"http://www.w3.org/2001/XMLSchema-instance`">
<Property xsi:type=`"StringProperty`" Name=`"SubscriptionId`" Value=`"123`" />
<Property xsi:type=`"StringProperty`" Name=`"ManagementEndpoint`" Value=`"https://management.azure.com/`" />
<Property xsi:type=`"StringProperty`" Name=`"AuthenticationAuthority`" Value=`"https://login.microsoftonline.com/`" />
<Property xsi:type=`"StringProperty`" Name=`"StorageSuffix`" Value=`"core.windows.net`" />
<Property xsi:type=`"StringProperty`" Name=`"TenantId`" Value=`"123abc`" />
<Property xsi:type=`"StringProperty`" Name=`"SharedTenants`" Value=`"`[ { 'Tenant':'123abc', 'Subscriptions':['345', '567'] } ]`"` />
</CustomProperties>"
-LiteralPath @("XDHyp:\Connections\aazure") -PassThru -UserName "advc345" -SecurePassword
$psd
<!--NeedCopy-->

注意：

您可以添加多个租户。每个租户可以有多个订阅。

从其他租户中选择映像

您可以选择属于不同 Azure 租户的 Azure 计算库中的映像，以使用 PowerShell 命令创建和更新 MCS 目录。

  1. 在托管单元根文件夹中，Citrix 会创建一个名为 sharedsubscription 的新共享订阅文件夹。

  2. 列出所有共享订阅。

    Get-ChildItem XDHyp:\HostingUnits\azres\sharedsubscription.folder
<!--NeedCopy-->

  3. 选择一个共享订阅，然后列出该共享订阅的所有共享资源组。

    Get-ChildItem XDHyp:\HostingUnits\azres\image.folder\abc123.sharedsubscription
<!--NeedCopy-->

  4. 选择一个资源组，然后列出该资源组的所有库。

    Get-ChildItem XDHyp:\HostingUnits\azres\image.folder\abc123.sharedsubscription\ xyz.resourcegroup
<!--NeedCopy-->

  5. 选择一个库，然后列出该库的所有映像定义。

    Get-ChildItem XDHyp:\HostingUnits\azres\image.folder\abc123.sharedsubscription\xyz.resourcegroup\efg.gallery
<!--NeedCopy-->

  6. 选择一个映像定义，然后列出该映像定义的所有映像版本。

    Get-ChildItem XDHyp:\HostingUnits\azres\image.folder\abc123.sharedsubscription\xyz.resourcegroup\efg.gallery\hij.imagedefinition
<!--NeedCopy-->

  7. 使用以下元素创建和更新 MCS 目录：

    • 资源群组
    • 库
    • 共享映像库映像定义
    • 共享映像库映像版本

    有关如何使用 Remote PowerShell SDK 创建目录的信息，请参阅 https://developer-docs.citrix.com/projects/citrix-virtual-apps-desktops-sdk/en/latest/creating-a-catalog/。

管理应用程序密钥和密钥过期日期

请务必在密钥过期之前更改连接的应用程序密钥。在密钥过期前 14 天，您会在“托管”节点中的特定主机连接上看到一个警告图标。但是，如果密钥过期，您将收到错误。

在 Azure 中创建应用程序密钥

您可以通过 Azure 门户为连接创建应用程序密钥。

  1. 选择 Azure 活动目录。
  2. 在 Azure 活动目录 的 应用注册 中，选择您的应用程序。
  3. 转到 证书和机密。
  4. 单击 客户端机密 > 新建客户端机密。

  5. 提供密钥的描述并指定持续时间。完成后，选择 Add。

    注意：

    请务必保存客户端密钥，因为以后无法检索它。

  6. 复制客户端密钥值和过期日期。
  7. 在 Web 工作室 中，编辑相应的连接，并将 Application secret 和 Secret expiration date 字段中的内容替换为您复制的值。

更改应用程序密钥的过期日期

您可以使用 Web Studio 添加或修改正在使用的应用程序密钥的过期日期。

注意：

在密钥过期前 14 天开始，您会在 Hosting 节点中特定主机连接上看到一个警告图标。

  1. 在添加连接和资源向导中，右键单击一个连接，然后单击编辑连接。
  2. 在 Connection Properties 页面上，单击 Secret expiration date 以添加或修改正在使用的应用程序密钥的过期日期。

所需的 Azure 权限

本节包含 Azure 所需的最低权限和一般权限。

所需的最低权限

最低权限可提供更好的安全控制。但是，由于仅使用最低权限，需要额外权限的新功能将无法运行。

主机连接的创建

使用从 Azure 获取的信息添加新的主机连接。

"Microsoft.Network/virtualNetworks/read",
"Microsoft.Compute/virtualMachines/read",
"Microsoft.Compute/disks/read",
<!--NeedCopy-->

虚拟机电源管理

启动或关闭计算机实例。

"Microsoft.Compute/virtualMachines/read",
"Microsoft.Resources/subscriptions/resourceGroups/read",
"Microsoft.Compute/virtualMachines/deallocate/action",
"Microsoft.Compute/virtualMachines/start/action",
"Microsoft.Compute/virtualMachines/restart/action",
<!--NeedCopy-->

创建、更新或删除虚拟机

创建计算机目录，然后添加、删除、更新计算机，并删除计算机目录。

以下是当主映像为托管磁盘，或者快照与托管连接位于与托管连接相同的区域时，所需要满足的最低权限列表。

"Microsoft.Resources/subscriptions/resourceGroups/read",
"Microsoft.Resources/deployments/validate/action",
"Microsoft.Compute/virtualMachines/read",
"Microsoft.Compute/virtualMachines/write",
"Microsoft.Compute/virtualMachines/delete",
"Microsoft.Compute/virtualMachines/deallocate/action",
"Microsoft.Compute/snapshots/read",
"Microsoft.Compute/snapshots/write",
"Microsoft.Compute/snapshots/delete",
"Microsoft.Compute/snapshots/beginGetAccess/action",
"Microsoft.Compute/snapshots/endGetAccess/action",
"Microsoft.Compute/disks/read",
"Microsoft.Compute/disks/write",
"Microsoft.Compute/disks/delete",
"Microsoft.Compute/disks/beginGetAccess/action",
"Microsoft.Compute/disks/endGetAccess/action",
"Microsoft.Network/virtualNetworks/read",
"Microsoft.Network/virtualNetworks/subnets/join/action",
"Microsoft.Network/virtualNetworks/subnets/read",
"Microsoft.Network/networkSecurityGroups/read",
"Microsoft.Network/networkSecurityGroups/write",
"Microsoft.Network/networkSecurityGroups/delete",
"Microsoft.Network/networkSecurityGroups/join/action",
"Microsoft.Network/networkInterfaces/read",
"Microsoft.Network/networkInterfaces/write",
"Microsoft.Network/networkInterfaces/delete",
"Microsoft.Network/networkInterfaces/join/action",
<!--NeedCopy-->

对于以下功能，您需要在最低权限的基础上额外授予以下权限：

  • 如果主映像是位于与托管连接相同区域的存储帐户中的 VHD：

     "Microsoft.Storage/storageAccounts/read",
 "Microsoft.Storage/storageAccounts/listKeys/action",
 <!--NeedCopy-->

  • 如果主映像是共享映像库中的 ImageVersion：

     "Microsoft.Compute/galleries/read",
 "Microsoft.Compute/galleries/images/read",
 "Microsoft.Compute/galleries/images/versions/read",
 <!--NeedCopy-->

  • 如果主映像是托管磁盘，则快照或 VHD 位于与托管连接区域不同的区域：

     "Microsoft.Storage/storageAccounts/read",
 "Microsoft.Storage/storageAccounts/listKeys/action",
 "Microsoft.Storage/storageAccounts/write",
 "Microsoft.Storage/storageAccounts/delete",
 <!--NeedCopy-->

  • 如果您使用 Citrix 管理的资源组：

     "Microsoft.Resources/subscriptions/resourceGroups/write",
 "Microsoft.Resources/subscriptions/resourceGroups/delete",
 <!--NeedCopy-->

  • 如果您将主映像放入共享映像库：

     "Microsoft.Compute/galleries/write",
 "Microsoft.Compute/galleries/images/write",
 "Microsoft.Compute/galleries/images/versions/write",
 "Microsoft.Compute/galleries/read",
 "Microsoft.Compute/galleries/images/read",
 "Microsoft.Compute/galleries/images/versions/read",
 "Microsoft.Compute/galleries/delete",
 "Microsoft.Compute/galleries/images/delete",
 "Microsoft.Compute/galleries/images/versions/delete",
 <!--NeedCopy-->

  • 如果您使用 Azure 专用主机支持：

     "Microsoft.Compute/hostGroups/read",
 "Microsoft.Compute/hostGroups/write",
 "Microsoft.Compute/hostGroups/hosts/read",
 <!--NeedCopy-->

  • 如果您将服务器端加密 (SSE) 与客户管理的密钥 (CMK) 结合使用：

     "Microsoft.Compute/diskEncryptionSets/read",
 <!--NeedCopy-->

  • 如果您使用 ARM 模板（计算机配置文件）部署 VM：

     "Microsoft.Resources/deployments/write",
 "Microsoft.Resources/deployments/operationstatuses/read",
 "Microsoft.Resources/deployments/read",
 "Microsoft.Resources/deployments/delete",
 <!--NeedCopy-->

  • 如果您使用 Azure 模板规范作为计算机配置文件：

     "Microsoft.Resources/templateSpecs/read",
 "Microsoft.Resources/templateSpecs/versions/read",
 <!--NeedCopy-->

使用非托管磁盘创建、更新和删除计算机

以下是主映像为 VHD 且使用管理员提供的资源组时所需的最低权限列表：

"Microsoft.Resources/subscriptions/resourceGroups/read",
"Microsoft.Storage/storageAccounts/delete",
"Microsoft.Storage/storageAccounts/listKeys/action",
"Microsoft.Storage/storageAccounts/read",
"Microsoft.Storage/storageAccounts/write",
"Microsoft.Compute/virtualMachines/deallocate/action",
"Microsoft.Compute/virtualMachines/delete",
"Microsoft.Compute/virtualMachines/read",
"Microsoft.Compute/virtualMachines/write",
"Microsoft.Resources/deployments/validate/action",
"Microsoft.Network/networkInterfaces/delete",
"Microsoft.Network/networkInterfaces/join/action",
"Microsoft.Network/networkInterfaces/read",
"Microsoft.Network/networkInterfaces/write",
"Microsoft.Network/networkSecurityGroups/delete",
"Microsoft.Network/networkSecurityGroups/join/action",
"Microsoft.Network/networkSecurityGroups/read",
"Microsoft.Network/networkSecurityGroups/write",
"Microsoft.Network/virtualNetworks/subnets/read",
"Microsoft.Network/virtualNetworks/read",
"Microsoft.Network/virtualNetworks/subnets/join/action"
<!--NeedCopy-->

一般性权限

参与者角色拥有管理所有资源的完全访问权限。这组权限不会阻止您获取新功能。

以下权限集提供了未来最佳的兼容性，尽管它所包含的权限超出了当前功能集所需，但仍建议使用：

"Microsoft.Compute/diskEncryptionSets/read",
"Microsoft.Compute/disks/beginGetAccess/action",
"Microsoft.Compute/disks/delete",
"Microsoft.Compute/disks/endGetAccess/action",
"Microsoft.Compute/disks/read",
"Microsoft.Compute/disks/write",
"Microsoft.Compute/galleries/delete",
"Microsoft.Compute/galleries/images/delete",
"Microsoft.Compute/galleries/images/read",
"Microsoft.Compute/galleries/images/versions/delete",
"Microsoft.Compute/galleries/images/versions/read",
"Microsoft.Compute/galleries/images/versions/write",
"Microsoft.Compute/galleries/images/write",
"Microsoft.Compute/galleries/read",
"Microsoft.Compute/galleries/write",
"Microsoft.Compute/hostGroups/hosts/read",
"Microsoft.Compute/hostGroups/read",
"Microsoft.Compute/hostGroups/write",
"Microsoft.Compute/snapshots/beginGetAccess/action",
"Microsoft.Compute/snapshots/delete",
"Microsoft.Compute/snapshots/endGetAccess/action",
"Microsoft.Compute/snapshots/read",
"Microsoft.Compute/snapshots/write",
"Microsoft.Compute/virtualMachines/deallocate/action",
"Microsoft.Compute/virtualMachines/delete",
"Microsoft.Compute/virtualMachines/read",
"Microsoft.Compute/virtualMachines/restart/action",
"Microsoft.Compute/virtualMachines/start/action",
"Microsoft.Compute/virtualMachines/write",
"Microsoft.Network/networkInterfaces/delete",
"Microsoft.Network/networkInterfaces/join/action",
"Microsoft.Network/networkInterfaces/read",
"Microsoft.Network/networkInterfaces/write",
"Microsoft.Network/networkSecurityGroups/delete",
"Microsoft.Network/networkSecurityGroups/join/action",
"Microsoft.Network/networkSecurityGroups/read",
"Microsoft.Network/networkSecurityGroups/write",
"Microsoft.Network/virtualNetworks/subnets/read",
"Microsoft.Network/virtualNetworks/read",
"Microsoft.Network/virtualNetworks/subnets/join/action",
"Microsoft.Resources/deployments/operationstatuses/read",
"Microsoft.Resources/deployments/read",
"Microsoft.Resources/deployments/validate/action",
"Microsoft.Resources/deployments/write",
"Microsoft.Resources/deployments/delete",
"Microsoft.Resources/subscriptions/resourceGroups/read",
"Microsoft.Resources/subscriptions/resourceGroups/write",
"Microsoft.Resources/subscriptions/resourceGroups/delete",
"Microsoft.Storage/storageAccounts/delete",
"Microsoft.Storage/storageAccounts/listKeys/action",
"Microsoft.Storage/storageAccounts/read",
"Microsoft.Storage/storageAccounts/write",
"Microsoft.Resources/templateSpecs/read",
"Microsoft.Resources/templateSpecs/versions/read",
<!--NeedCopy-->

后续步骤

更多信息

连接到 微软 Azure
June 2, 2026
投稿者: 
C C
June 2, 2026
投稿者: 
C C

在本文中

站点反馈 | Your privacy choices footer link您的隐私选择 | 隐私和法律条款 | Cookie 首选项 | 同意设置 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.