Udělení přístupu k vytváření předplatných Azure Enterprise (starší verze)

  • Článek

Jako zákazník Azure s smlouva Enterprise (EA) můžete jinému uživateli nebo instančnímu objektu udělit oprávnění k vytváření předplatných fakturovaných vašemu účtu. V tomto článku se dozvíte, jak používat řízení přístupu na základě role v Azure (Azure RBAC) ke sdílení možností vytváření předplatných a jak auditovat vytváření předplatných. Pro účet, který chcete sdílet, musíte mít roli vlastníka.

Poznámka:

Poznámka:

Při práci s Azure doporučujeme používat modul Azure Az PowerShellu. Začněte tím, že si projdete téma Instalace Azure PowerShellu. Informace o tom, jak migrovat na modul Az PowerShell, najdete v tématu Migrace Azure PowerShellu z AzureRM na Az.

Udělení přístupu

Pokud uživatelé chtějí vytvářet předplatná v rámci registračního účtu, musí pro tento účet mít roli vlastníka Azure RBAC. Uživateli nebo skupině uživatelů můžete udělit roli vlastníka Azure RBAC pro registrační účet pomocí následujících kroků:

  1. Získejte ID objektu registračního účtu, pro který chcete udělit přístup:

    Abyste mohli ostatním udělit roli vlastníka Azure RBAC v rámci registračního účtu, musíte mít pro tento účet roli vlastníka účtu nebo vlastníka Azure RBAC.

    Požádejte o výpis všech registračních účtů, ke kterým máte přístup:

    GET https://management.azure.com/providers/Microsoft.Billing/enrollmentAccounts?api-version=2018-03-01-preview

    Azure odpoví výpisem všech registračních účtů, ke kterým máte přístup:

    {
  "value": [
    {
      "id": "/providers/Microsoft.Billing/enrollmentAccounts/747ddfe5-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
      "name": "747ddfe5-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
      "type": "Microsoft.Billing/enrollmentAccounts",
      "properties": {
        "principalName": "SignUpEngineering@contoso.com"
      }
    },
    {
      "id": "/providers/Microsoft.Billing/enrollmentAccounts/4cd2fcf6-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
      "name": "4cd2fcf6-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
      "type": "Microsoft.Billing/enrollmentAccounts",
      "properties": {
        "principalName": "BillingPlatformTeam@contoso.com"
      }
    }
  ]
}

    K určení účtu, ke kterému chcete přidělit roli vlastníka Azure RBAC, použijte vlastnost principalName. Zkopírujte name tohoto účtu. Pokud například chcete přístup vlastníka Azure RBAC udělit registračnímu účtu SignUpEngineering@contoso.com, zkopírujete 747ddfe5-xxxx-xxxx-xxxx-xxxxxxxxxxxx. Je to ID objektu registračního účtu. Tuto hodnotu někam vložte, abyste ji mohli použít v dalším kroku jako enrollmentAccountObjectId.

    K určení účtu, ke kterému chcete přidělit roli vlastníka Azure RBAC, použijte vlastnost principalName. Zkopírujte name tohoto účtu. Pokud například chcete přístup vlastníka Azure RBAC udělit registračnímu účtu SignUpEngineering@contoso.com, zkopírujete 747ddfe5-xxxx-xxxx-xxxx-xxxxxxxxxxxx. Je to ID objektu registračního účtu. Tuto hodnotu někam vložte, abyste ji mohli použít v dalším kroku jako enrollmentAccountObjectId.

  2. Získejte ID objektu uživatele nebo skupiny, kterým chcete poskytnout roli vlastníka Azure RBAC:

    1. Na webu Azure Portal vyhledejte ID Microsoft Entra.
    2. Pokud chcete udělit přístup pro uživatele, v nabídce na levé straně vyberte Uživatelé. Pokud chcete udělit přístup ke skupině, vyberte Skupiny.
    3. Vyberte uživatele nebo skupinu, kterým chcete poskytnout roli vlastníka Azure RBAC.
    4. Pokud jste vybrali uživatele, najdete ID objektu na stránce profilu. Pokud jste vybrali skupinu, ID objektu bude uvedené na stránce přehledu. Výběrem ikony napravo od textového pole zkopírujte ObjectID. Někam ho vložte, abyste ho mohli použít v dalším kroku jako userObjectId.

  3. Uživateli nebo skupině udělte roli vlastníka Azure RBAC pro registrační účet:

    Pomocí hodnot, které jste shromáždili v prvních dvou krocích, udělte uživateli nebo skupině roli vlastníka Azure RBAC pro registrační účet.

    Spusťte následující příkaz a nahraďte přitom <enrollmentAccountObjectId> hodnotou name, kterou jste zkopírovali v prvním kroku (747ddfe5-xxxx-xxxx-xxxx-xxxxxxxxxxxx). Místo <userObjectId> použijte ID objektu, které jste zkopírovali v druhém kroku.

    PUT  https://management.azure.com/providers/Microsoft.Billing/enrollmentAccounts/<enrollmentAccountObjectId>/providers/Microsoft.Authorization/roleAssignments/<roleAssignmentGuid>?api-version=2015-07-01

{
  "properties": {
    "roleDefinitionId": "/providers/Microsoft.Billing/enrollmentAccounts/<enrollmentAccountObjectId>/providers/Microsoft.Authorization/roleDefinitions/<ownerRoleDefinitionId>",
    "principalId": "<userObjectId>"
  }
}

    Když se role vlastníka úspěšně přiřadí v rozsahu registračního účtu, Azure odpoví informacemi o přiřazení role:

    {
  "properties": {
    "roleDefinitionId": "/providers/Microsoft.Billing/enrollmentAccounts/providers/Microsoft.Authorization/roleDefinitions/<ownerRoleDefinitionId>",
    "principalId": "<userObjectId>",
    "scope": "/providers/Microsoft.Billing/enrollmentAccounts/747ddfe5-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
    "createdOn": "2018-03-05T08:36:26.4014813Z",
    "updatedOn": "2018-03-05T08:36:26.4014813Z",
    "createdBy": "<assignerObjectId>",
    "updatedBy": "<assignerObjectId>"
  },
  "id": "/providers/Microsoft.Billing/enrollmentAccounts/providers/Microsoft.Authorization/roleDefinitions/<ownerRoleDefinitionId>",
  "type": "Microsoft.Authorization/roleAssignments",
  "name": "<roleAssignmentGuid>"
}

Audit, kdo vytvořil odběry, s využitím protokolů aktivit

Pokud chcete sledovat předplatná vytvořená přes toto rozhraní API, použijte rozhraní API pro protokoly aktivit tenanta. Ke sledování vytváření předplatných není možné použít PowerShell, rozhraní příkazového řádku ani Azure Portal.

  1. Jako správce tenanta Microsoft Entra zvyšte úroveň přístupu a potom přiřaďte uživateli auditování roli Čtenář nad rozsah /providers/microsoft.insights/eventtypes/management. Tento přístup je k dispozici v rámci rolí Čtenář a Přispěvatel monitorování a vlastních rolí.

  2. Jako uživatel provádějící audit můžete aktivity vytváření předplatných zobrazit voláním rozhraní API pro protokoly aktivit tenanta. Příklad:

    GET "/providers/Microsoft.Insights/eventtypes/management/values?api-version=2015-04-01&$filter=eventTimestamp ge '{greaterThanTimeStamp}' and eventTimestamp le '{lessThanTimestamp}' and eventChannels eq 'Operation' and resourceProvider eq 'Microsoft.Subscription'"

Pokud chcete toto rozhraní API pohodlně volat z příkazového řádku, vyzkoušejte ARMClient.

Další kroky