Élever l’accès à la gestion des comptes de facturation

En tant qu’administrateur général dans Microsoft Entra ID, il est possible que vous n’ayez pas accès à tous les comptes de facturation de votre annuaire. Cet article décrit les moyens par lesquels vous pouvez élever votre accès à tous les comptes de facturation.

L’élévation de votre accès pour gérer tous les comptes de facturation vous permet d’afficher et de gérer les coûts et la facturation de vos comptes. Vous pouvez afficher les factures, les frais, les produits achetés et les utilisateurs qui ont accès aux comptes de facturation. Si vous souhaitez élever votre accès pour gérer les abonnements, les groupes d’administration et les ressources, consultez Élever l’accès pour gérer tous les abonnements et groupes d’administration Azure.

Notes

L’accès élevé fonctionne uniquement pour les types de compte de facturation MCA (Contrat client Microsoft) et MPA (Contrat Partenaire Microsoft). En tant qu’administrateur général, vous ne pouvez pas élever votre accès pour gérer les comptes de facturation pour les types Accord Entreprise (EA) et Microsoft Online Service Program (MOSP). Pour en savoir plus sur les comptes de facturation, consultez Comptes et étendues de facturation dans le portail Azure.

Pourquoi élever votre accès ?

Si vous êtes administrateur général, il peut vous arriver de vouloir effectuer les actions suivantes :

• Consultez tous les utilisateurs qui ont créé des comptes de facturation individuels dans votre organisation.
• Affichez les factures et les frais pour tous les comptes de facturation individuels créés dans votre organisation.
• Rétablir l’accès à un compte de facturation lorsqu’un utilisateur a perdu l’accès.
• Effectuez l’administration de facturation pour un compte lorsque d’autres administrateurs ne sont pas disponibles.

Comment fonctionne l’accès avec élévation de privilèges ?

Tous les administrateurs généraux dans Microsoft Entra ID obtiennent un accès en lecture seule à tous les comptes de facturation Contrat client Microsoft (MCA) et Contrat Partenaire Microsoft (MPA) dans leur instance Microsoft Entra ID. Ils peuvent afficher tous les comptes de facturation et les informations de coût et de facturation correspondantes. En plus d’une vue en lecture seule, ils obtiennent l’autorisation de gérer les attributions de rôles sur les comptes de facturation. Ils peuvent s’ajouter en tant que propriétaires des comptes de facturation pour s’élever eux-mêmes.

Élever l’accès à la gestion des comptes de facturation

Azure portal

1. Connectez-vous au portail Azure.
2. Recherchez Gestion des coûts + facturation.
   
3. Sélectionnez Étendues de facturation sur le côté gauche de la page.
4. Dans la page Étendues de facturation, activez la case pour afficher tous les comptes de facturation.
   

   Notes

   La page Étendues de facturation affiche uniquement 200 étendues. Toutefois, vous pouvez utiliser la zone de recherche dans la page pour rechercher des comptes qui ne font pas partie de la liste.

5. Sélectionnez un Contrat client Microsoft ou un compte de facturation Contrat Partenaire Microsoft dans la liste. En tant qu’administrateur général, vous avez accès en lecture au compte de facturation. Pour vous élever pour effectuer des opérations d’écriture, suivez les étapes 6 à 8.
6. Sélectionner Contrôle d’accès (IAM) sur le côté gauche de la page.
7. Sélectionnez Ajouter en haut de la page.
   
8. Dans la fenêtre Ajouter une autorisation, dans la liste Rôle, sélectionnez Propriétaire du compte de facturation. Sous la zone Sélectionner, sélectionnez votre nom d’utilisateur, puis Enregistrer en bas de la fenêtre.
   

REST API

Vous pouvez utiliser les API de facturation Azure pour vous élever par programmation pour gérer tous les comptes de facturation dans votre annuaire.

Rechercher tous les comptes de facturation dans votre annuaire

GET https://management.azure.com/providers/Microsoft.Billing/billingAccounts?includeAllOrgs=true&api-version=2020-05-01

La réponse de l’API renvoie une liste des comptes de facturation dans votre annuaire.

{
  "value": [
    {
            "id": "/providers/Microsoft.Billing/billingAccounts/6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx",
            "name": "6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx",
            "properties": {
                "accountStatus": "Active",
                "accountType": "Individual",
                "agreementType": "MicrosoftCustomerAgreement",
                "billingProfiles": {
                    "hasMoreResults": false
                },
                "displayName": "Connie Wilson",
                "hasReadAccess": true
            },
            "type": "Microsoft.Billing/billingAccounts"
        },
        {
            "id": "/providers/Microsoft.Billing/billingAccounts/5e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx",
            "name": "5e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx",
            "properties": {
                "accountStatus": "Active",
                "accountType": "Enterprise",
                "agreementType": "MicrosoftCustomerAgreement",
                "billingProfiles": {
                    "hasMoreResults": false
                },
                "displayName": "Contoso",
                "hasReadAccess": true
            },
            "type": "Microsoft.Billing/billingAccounts"
        },
        {
            "id": "/providers/Microsoft.Billing/billingAccounts/4e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx",
            "name": "4e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx",
            "properties": {
                "accountStatus": "Active",
                "accountType": "Individual",
                "agreementType": "MicrosoftCustomerAgreement",
                "billingProfiles": {
                    "hasMoreResults": false
                },
                "displayName": "Tomas Wilson",
                "hasReadAccess": true
            },
            "type": "Microsoft.Billing/billingAccounts"
        }
  ]
}

Utilisez la propriété displayName du compte de facturation pour identifier le compte de facturation pour lequel vous voulez élever votre accès. Copiez le name du compte de facturation. Par exemple, si vous souhaitez vous élever en tant que propriétaire sur le compte de facturation Connie Wilson, vous copieriez 6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx. Collez cette valeur quelque part, de façon à pouvoir l’utiliser à l’étape suivante.

Obtenir des définitions de rôles disponibles pour votre compte de facturation

Effectuez la requête suivante, en remplaçant <billingAccountName> par l’élément name copié lors de la première étape (6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx).

GET https://management.azure.com/providers/Microsoft.Billing/billingAccounts/<billingAccountName>/billingRoleDefinitions?api-version=2020-05-01

La réponse de l’API retourne la liste des rôles disponibles pour votre compte de facturation.

{
    "value": [
        {
            "id": "/providers/Microsoft.Billing/billingAccounts/6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx/billingRoleDefinitions/50000000-aaaa-bbbb-cccc-100000000000",
            "name": "50000000-aaaa-bbbb-cccc-100000000000",
            "properties": {
                "description": "The Owner role gives the user all permissions including access management on a billing account.",
                "permissions": [
                    {
                        "actions": [
                            "50000000-aaaa-bbbb-cccc-200000000000",
                            "50000000-aaaa-bbbb-cccc-200000000001",
                            "50000000-aaaa-bbbb-cccc-200000000002",
                            "50000000-aaaa-bbbb-cccc-200000000003"
                        ]
                    }
                ],
                "roleName": "Billing account owner"
            },
            "type": "Microsoft.Billing/billingAccounts/billingRoleDefinitions"
        },
        {
            "id": "/providers/Microsoft.Billing/billingAccounts/6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx/billingRoleDefinitions/50000000-aaaa-bbbb-cccc-100000000001",
            "name": "50000000-aaaa-bbbb-cccc-100000000001",
            "properties": {
                "description": "The Contributor role gives the user all permissions except access management on a billing account.",
                "permissions": [
                    {
                        "actions": [
                            "50000000-aaaa-bbbb-cccc-200000000001",
                            "50000000-aaaa-bbbb-cccc-200000000002",
                            "50000000-aaaa-bbbb-cccc-200000000003",
                        ]
                    }
                ],
                "roleName": "Billing account contributor"
            },
            "type": "Microsoft.Billing/billingAccounts/billingRoleDefinitions"
        },
        {
            "id": "/providers/Microsoft.Billing/billingAccounts/6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx/billingRoleDefinitions/50000000-aaaa-bbbb-cccc-100000000002",
            "name": "50000000-aaaa-bbbb-cccc-100000000002",
            "properties": {
                "description": "The Reader role gives the user read permissions to a billing account.",
                "permissions": [
                    {
                        "actions": [
                            "50000000-aaaa-bbbb-cccc-200000000001",
                            "50000000-aaaa-bbbb-cccc-200000000006",
                            "50000000-aaaa-bbbb-cccc-200000000007",
                        ]
                    }
                ],
                "roleName": "Billing account reader"
            },
            "type": "Microsoft.Billing/billingAccounts/billingRoleDefinitions"
        }
    ]
}

Utilisez la propriété roleName pour identifier la définition du rôle propriétaire. Copiez le name de la définition de rôle. Par exemple, à partir de la réponse d’API ci-dessus, vous copieriez 50000000-aaaa-bbbb-cccc-100000000000. Collez cette valeur quelque part, car vous en aurez besoin à l’étape suivante.

Vous ajouter vous-même en tant que propriétaire

Effectuez la requête suivante, en remplaçant <billingAccountName> par l’élément name copié lors de la première étape (6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx).

PUT  https://management.azure.com/providers/Microsoft.Billing/billingAccounts/<billingAccountName>/createBillingRoleAssignment?api-version=2020-05-01

Corps de la demande

Pour vous ajouter en tant que propriétaire, vous devez obtenir votre ID d’objet. Vous trouverez l’ID d’objet dans la page Utilisateurs de la section Microsoft Entra ID dans le portail Azure ; ou vous pouvez utiliser l’API Microsoft Graph pour obtenir l’ID d’objet.

Dans le corps de la demande, remplacez <roleDefinitionName> par la valeur name copiée à l’étape 2. Remplacez <principalId> par l’ID d’objet que vous avez obtenu à partir du portail Azure ou par le biais de l’API Microsoft Graph.

{
	    "principalId": "<principalId>",
	    "roleDefinitionId": "<roleDefinitionName>"
}

Besoin d’aide ? Contactez le support

Si vous avez toujours besoin d’aide, contactez le support technique pour obtenir une prise en charge rapide de votre problème.

Étapes suivantes

• Gérer les rôles de facturation dans le portail Azure
• Obtenir la propriété de facturation des abonnements des utilisateurs d’autres comptes de facturation