使用 Bicep 檔案部署租用戶

發行項
01/26/2023

隨著您的組織逐漸成熟，您可能需要定義和指派 Azure AD 租用戶中的原則或 Azure 角色型存取控制 (Azure RBAC)。您可以使用租用戶層級範本，以宣告方式套用原則，並在全域層級指派角色。

訓練資源

如果您比較想要透過逐步指導來了解部署範圍，請參閱使用 Bicep 將資源部署到訂用帳戶、管理群組和租用戶。

支援的資源

並非所有的資源類型都可部署至租用戶等級。本節將列出支援的資源類型。

針對 Azure 角色型存取控制 (Azure RBAC)，請使用：

roleAssignments

針對部署至管理群組、訂用帳戶或資源群組的巢狀範本，請使用：

deployments

若要建立管理群組，請使用：

managementGroups

若要建立訂用帳戶，請使用：

別名

若要管理成本，請使用：

若要設定入口網站，請使用：

tenantConfigurations

內建原則定義是租用戶等級的資源，但您無法在租用戶部署自訂原則定義。如需將內建原則定義指派給資源的範例，請參閱 tenantResourceId 範例。

集合範圍

若要將範圍設定為租用戶，請使用：

targetScope = 'tenant'

必要的存取權

部署範本的主體必須具備在租用戶範圍建立資源的權限。主體必須擁有執行部署動作 (Microsoft.Resources/deployments/*) 並建立在範本中定義之資源的權限。例如，若要建立管理群組，主體必須具備租用戶範圍的「參與者」權限。若要建立角色指派，主體必須具備「擁有者」權限。

Azure Active Directory 的全域管理員不會自動具備指派角色的權限。若要在租用戶範圍啟用範本部署，全域管理員必須執行下列步驟：

提升帳戶存取權，讓全域管理員可以指派角色。如需詳細資訊，請參閱提高存取權以管理所有 Azure 訂用帳戶和管理群組。

將「擁有者」或「參與者」指派給需要部署範本的主體。

New-AzRoleAssignment -SignInName "[userId]" -Scope "/" -RoleDefinitionName "Owner"

az role assignment create --assignee "[userId]" --scope "/" --role "Owner"

主體現在具備部署範本所需的權限。

部署命令

用於租用戶部署的命令與用於資源群組部署的命令不同。

Azure CLI
PowerShell

針對 Azure CLI，使用 az deployment tenant create：

az deployment tenant create \
  --name demoTenantDeployment \
  --location WestUS \
  --template-file main.bicep

針對 Azure PowerShell，使用 New-AzTenantDeployment。

New-AzTenantDeployment `
  -Name demoTenantDeployment `
  -Location "West US" `
  -TemplateFile main.bicep

如需部署 ARM 範本的部署命令和選項的詳細資訊，請參閱：

部署位置和名稱

針對租用戶層級部署，您必須提供部署的位置。部署的位置與您部署的資源位置不同。部署位置會指定部署資料的儲存位置。訂用帳戶和管理群組部署也需要一個位置。針對資源群組部署，資源群組的位置會用來儲存部署資料。

您可以提供部署的名稱，或使用預設的部署名稱。預設名稱是範本檔案的名稱。例如，部署名稱為 main.bicep 的檔案會建立 main 的預設部署名稱。

對於每個部署名稱而言，此位置是不可變的。當某個位置已經有名稱相同的現有部署時，您無法在其他位置建立部署。例如，如果您在 centralus 中建立名稱為 deployment1 的租用戶部署，稍後就無法再使用名稱 deployment1 建立另一個部署，只能使用 westus 的位置建立另一個部署。如果您收到錯誤代碼 InvalidDeploymentLocation，請使用不同的名稱或與先前該名稱部署相同的位置。

部署範圍

部署至租用戶時，您可以將資源部署至：

租用戶
租用戶中的管理群組
subscriptions
資源群組

延伸模組資源的範圍可以設定為與部署目標不同的目標。

部署範本的使用者必須有指定範圍的存取權。

本節說明如何指定不同的範圍。您可以將這些不同範圍結合在單一範本中。

將範圍設為租用戶

在 Bicep 檔案中定義的資源會套用至租用戶。

targetScope = 'tenant'

// create resource at tenant
resource mgName_resource 'Microsoft.Management/managementGroups@2020-02-01' = {
  ...
}

將範圍設為管理群組

若要鎖定租用戶內的管理群組，請新增模組。您可以使用 managementGroup 函式來設定其 scope 屬性。提供管理群組名稱。

targetScope = 'tenant'

param managementGroupName string

// create resources at management group level
module  'module.bicep' = {
  name: 'deployToMG'
  scope: managementGroup(managementGroupName)
}

將範圍設為訂閱

若要以租用戶內的訂閱為目標，請新增模組。使用訂閱函式來設定其 scope 屬性。提供訂閱識別碼。

targetScope = 'tenant'

param subscriptionID string

// create resources at subscription level
module  'module.bicep' = {
  name: 'deployToSub'
  scope: subscription(subscriptionID)
}

將範圍設為資源群組

若要以租用戶內的資源群組為目標，請新增模組。使用 resourceGroup 函式來設定其 scope 屬性。提供訂閱識別碼和資源群組名稱。

targetScope = 'tenant'

param resourceGroupName string
param subscriptionID string

// create resources at resource group level
module  'module.bicep' = {
  name: 'deployToRG'
  scope: resourceGroup(subscriptionID, resourceGroupName)
}

建立管理群組

下列範本會建立管理群組。

targetScope = 'tenant'
param mgName string = 'mg-${uniqueString(newGuid())}'

resource mgName_resource 'Microsoft.Management/managementGroups@2020-02-01' = {
  name: mgName
  properties: {}
}

如果您的帳戶沒有部署至租用戶的權限，您仍然可以藉由部署至另一個範圍來建立管理群組。如需詳細資訊，請參閱管理群組。

指派角色

下列範本會在租用戶範圍指派角色。

targetScope = 'tenant'

@description('principalId of the user that will be given contributor access to the resourceGroup')
param principalId string

@description('roleDefinition for the assignment - default is owner')
param roleDefinitionId string = '8e3af657-a8ff-443c-a75c-2fe8c4bcb635'

var roleAssignmentName = guid(principalId, roleDefinitionId)

resource roleAssignment 'Microsoft.Authorization/roleAssignments@2020-03-01-preview' = {
  name: roleAssignmentName
  properties: {
    roleDefinitionId: tenantResourceId('Microsoft.Authorization/roleDefinitions', roleDefinitionId)
    principalId: principalId
  }
}

後續步驟

若要了解其他範圍，請參閱：