Повышение уровня доступа для управления учетными записями выставления счетов

Как глобальный Администратор istrator в идентификаторе Microsoft Entra, у вас может не быть доступа ко всем учетным записям выставления счетов в каталоге. В этой статье описываются различные способы повышения прав доступа ко всем учетным записям выставления счетов.

Повышение уровня доступа для управления всеми учетными записями выставления счетов дает вам возможность просматривать затраты и счета для учетных записей и управлять ими. Вы можете просматривать счета, расходы, приобретенные продукты и пользователей, у которых есть доступ к учетным записям выставления счетов. Если вы хотите повысить уровень доступа для управления подписками, группами управления и ресурсами, см. раздел Повышение прав доступа для управления всеми подписками Azure и группами управления.

Примечание.

Повышение уровня доступа возможно только для учетных записей выставления счетов, связанных с Клиентским соглашением Майкрософт (MCA) или Соглашением с партнером Майкрософт (MPA). Как глобальный администратор вы не можете повысить уровень доступа для управления учетными записями выставления счетов для Соглашения Enterprise (EA) и Microsoft Online Service Program (MOSP). Сведения об учетных записях выставления счетов см. в статье Учетные записи и области выставления счетов на портале Azure.

Зачем повышать права доступа?

Если вы являетесь глобальным администратором, иногда могут возникать ситуации, требующие выполнения следующих действий:

• Просмотр всех пользователей, создавших отдельные учетные записи выставления счетов в вашей организации.
• Просмотр счетов и расходов для всех отдельных учетных записей выставления счетов, созданных в вашей организации.
• Восстановление доступа к учетной записи выставления счетов, если пользователь потерял к ней доступ.
• Администрирование выставления счетов для учетной записи, если другие администраторы недоступны.

Как работает повышение прав доступа

Все глобальные Администратор istratorы в идентификаторе Microsoft Entra получают доступ только для чтения ко всем учетным записям выставления счетов Клиентское соглашение Майкрософт (MCA) и Соглашение с партнером Майкрософт (MPA) в идентификаторе Microsoft Entra. Они могут просматривать все учетные записи выставления счетов и соответствующие сведения о затратах и счетах. Наряду с доступом к представлению только для чтения они получают разрешение на управление назначениями ролей в учетных записях выставления счетов. Они могут добавлять себя в качестве владельцев учетных записей выставления счетов для повышения собственных прав.

Повышение уровня доступа для управления учетными записями выставления счетов

Портал Azure

1. Войдите на портал Azure.
2. Выполните поиск по фразе Управление затратами + выставление счетов.
   
3. В левой части страницы выберите Области выставления счетов.
4. На странице "Области выставления счетов" выберите поле для просмотра всех учетных записей выставления счетов.
   

   Примечание.

   На странице "Области выставления счетов" отображаются только 200 областей. Однако с помощью поля поиска на странице можно искать учетные записи, не входящие в список.

5. Выберите из списка учетную запись выставления счетов Клиентского соглашения Майкрософт или Соглашения с партнером Майкрософт. В качестве глобального администратора у вас есть доступ на чтение к учетной записи выставления счетов. Чтобы повысить уровень своего доступа для выполнения операций записи, выполните шаги с 6 по 8.
6. В левой части страницы выберите Управление доступом (IAM).
7. Выберите Добавить в верхней части страницы.
   
8. В окне "Добавление разрешений" в списке Роль выберите Владелец учетной записи выставления счетов. В области выбора укажите свое имя пользователя и нажмите кнопку Сохранить в нижней части окна.
   

REST API

API выставления счетов Azure позволяет программным образом повысить свои права для управления всеми учетными записями выставления счетов в своем каталоге.

Поиск всех учетных записей выставления счетов в каталоге

GET https://management.azure.com/providers/Microsoft.Billing/billingAccounts?includeAllOrgs=true&api-version=2020-05-01

Ответ API содержит список учетных записей выставления счетов в вашем каталоге.

{
  "value": [
    {
            "id": "/providers/Microsoft.Billing/billingAccounts/6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx",
            "name": "6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx",
            "properties": {
                "accountStatus": "Active",
                "accountType": "Individual",
                "agreementType": "MicrosoftCustomerAgreement",
                "billingProfiles": {
                    "hasMoreResults": false
                },
                "displayName": "Connie Wilson",
                "hasReadAccess": true
            },
            "type": "Microsoft.Billing/billingAccounts"
        },
        {
            "id": "/providers/Microsoft.Billing/billingAccounts/5e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx",
            "name": "5e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx",
            "properties": {
                "accountStatus": "Active",
                "accountType": "Enterprise",
                "agreementType": "MicrosoftCustomerAgreement",
                "billingProfiles": {
                    "hasMoreResults": false
                },
                "displayName": "Contoso",
                "hasReadAccess": true
            },
            "type": "Microsoft.Billing/billingAccounts"
        },
        {
            "id": "/providers/Microsoft.Billing/billingAccounts/4e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx",
            "name": "4e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx",
            "properties": {
                "accountStatus": "Active",
                "accountType": "Individual",
                "agreementType": "MicrosoftCustomerAgreement",
                "billingProfiles": {
                    "hasMoreResults": false
                },
                "displayName": "Tomas Wilson",
                "hasReadAccess": true
            },
            "type": "Microsoft.Billing/billingAccounts"
        }
  ]
}

Используйте свойство displayName учетной записи выставления счетов, чтобы определить учетную запись выставления счетов, для которой требуется повысить права доступа. Скопируйте name этой учетной записи. Например, если вы хотите повысить свой уровень прав и назначить себя владельцем учетной записи выставления счетов Connie Wilson, скопируйте 6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx. Вставьте это значение в любое место, чтобы его можно было использовать на следующем шаге.

Получение определений ролей, доступных для учетной записи выставления счетов

Выполните следующий запрос, заменив <billingAccountName> на идентификатор name, который вы скопировали на первом шаге (6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx).

GET https://management.azure.com/providers/Microsoft.Billing/billingAccounts/<billingAccountName>/billingRoleDefinitions?api-version=2020-05-01

Ответ API возвращает список ролей, доступных для вашей учетной записи выставления счетов.

{
    "value": [
        {
            "id": "/providers/Microsoft.Billing/billingAccounts/6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx/billingRoleDefinitions/50000000-aaaa-bbbb-cccc-100000000000",
            "name": "50000000-aaaa-bbbb-cccc-100000000000",
            "properties": {
                "description": "The Owner role gives the user all permissions including access management on a billing account.",
                "permissions": [
                    {
                        "actions": [
                            "50000000-aaaa-bbbb-cccc-200000000000",
                            "50000000-aaaa-bbbb-cccc-200000000001",
                            "50000000-aaaa-bbbb-cccc-200000000002",
                            "50000000-aaaa-bbbb-cccc-200000000003"
                        ]
                    }
                ],
                "roleName": "Billing account owner"
            },
            "type": "Microsoft.Billing/billingAccounts/billingRoleDefinitions"
        },
        {
            "id": "/providers/Microsoft.Billing/billingAccounts/6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx/billingRoleDefinitions/50000000-aaaa-bbbb-cccc-100000000001",
            "name": "50000000-aaaa-bbbb-cccc-100000000001",
            "properties": {
                "description": "The Contributor role gives the user all permissions except access management on a billing account.",
                "permissions": [
                    {
                        "actions": [
                            "50000000-aaaa-bbbb-cccc-200000000001",
                            "50000000-aaaa-bbbb-cccc-200000000002",
                            "50000000-aaaa-bbbb-cccc-200000000003",
                        ]
                    }
                ],
                "roleName": "Billing account contributor"
            },
            "type": "Microsoft.Billing/billingAccounts/billingRoleDefinitions"
        },
        {
            "id": "/providers/Microsoft.Billing/billingAccounts/6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx/billingRoleDefinitions/50000000-aaaa-bbbb-cccc-100000000002",
            "name": "50000000-aaaa-bbbb-cccc-100000000002",
            "properties": {
                "description": "The Reader role gives the user read permissions to a billing account.",
                "permissions": [
                    {
                        "actions": [
                            "50000000-aaaa-bbbb-cccc-200000000001",
                            "50000000-aaaa-bbbb-cccc-200000000006",
                            "50000000-aaaa-bbbb-cccc-200000000007",
                        ]
                    }
                ],
                "roleName": "Billing account reader"
            },
            "type": "Microsoft.Billing/billingAccounts/billingRoleDefinitions"
        }
    ]
}

Используйте свойство roleName для идентификации определения роли владельца. Скопируйте определение роли name. Например, из приведенного выше ответа API необходимо скопировать 50000000-aaaa-bbbb-cccc-100000000000. Вставьте это значение в любое место, чтобы его можно было использовать на следующем шаге.

Добавление себя в качестве владельца

Выполните следующий запрос, заменив <billingAccountName> на идентификатор name, который вы скопировали на первом шаге (6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx).

PUT  https://management.azure.com/providers/Microsoft.Billing/billingAccounts/<billingAccountName>/createBillingRoleAssignment?api-version=2020-05-01

Текст запроса

Чтобы добавить себя в качестве владельца, необходимо получить идентификатор объекта. Идентификатор объекта можно найти на странице "Пользователи" раздела "Идентификатор Microsoft Entra" в портал Azure или с помощью API Microsoft Graph для получения идентификатора объекта.

В тексте запроса замените <roleDefinitionName> значением name, скопированным на шаге 2. Замените <principalId> идентификатором объекта, полученным на портале Azure или через API Microsoft Graph.

{
	    "principalId": "<principalId>",
	    "roleDefinitionId": "<roleDefinitionName>"
}

За дополнительной помощью обратитесь в службу поддержки.

Если вам нужна помощь, обратитесь в службу поддержки, которая поможет быстро устранить проблему.

Следующие шаги

• Управление ролями выставления счетов на портале Azure
• Получение запроса права владения на выставление счетов в подписках от пользователей в других учетных записях выставления счетов