提高存取權以管理所有 Azure 訂用帳戶和管理群組

  • 發行項

身為 Microsoft Entra ID 中的全域管理員，您可能沒有目錄中所有訂用帳戶與管理群組的存取權。 本文說明您可以提高所有訂用帳戶和管理群組存取權的方式。

注意

如需檢視或刪除個人資料的相關信息，請參閱 GDPR的 Azure 數據主體要求。 如需 GDPR 的詳細資訊，請參閱服務信任入口網站的 Microsoft 信任中心和GDPR 一節的 GDPR 一節。

為什麼您需要提高存取權？

如果您是 Global 管理員 istrator，有時候您可能會想要執行下列動作：

  • 當使用者失去存取權時，重新取得 Azure 訂用帳戶或管理群組的存取權
  • 將 Azure 訂用帳戶或管理群組的存取權授與其他使用者或您自己
  • 查看組織中的所有 Azure 訂用帳戶或管理群組
  • 允許自動化應用程式（例如發票或稽核應用程式）存取所有 Azure 訂用帳戶或管理群組

已提高的存取權會如何運作？

Microsoft Entra ID 和 Azure 資源會獨立地受到保護。 也就是說，Microsoft Entra 角色分配不授予對 Azure 資源的存取權，Azure 角色分配不授予對 Microsoft Entra ID 的存取權。 不過，如果您是 Microsoft Entra ID 中的全域管理員，您可以藉由指派存取權給自己，來存取您目錄中的所有 Azure 訂用帳戶與管理群組。 如果您沒有 Azure 訂用帳戶資源 (例如虛擬機器或儲存體帳戶) 的存取權，而且想要使用全域管理員權限來取得這些資源的存取權，您可以使用這項功能來達成。

當您提高存取權時，系統會在根範圍 （/） 指派 Azure 中的使用者存取 管理員 istrator 角色。 這可讓您檢視所有資源，並指派目錄中任何訂用帳戶或管理群組的存取權。 您可以使用 Azure PowerShell、Azure CLI 或 REST API 來移除「使用者存取管理員」的角色指派。

一旦您在根範圍上進行所需的變更後，您應該移除此提高的存取權。

Elevate access

在根範圍執行步驟

步驟 1：提高全域 管理員 istrator 的存取權

請遵循下列步驟，使用 Azure 入口網站提高全域管理員的存取權。

  1. 以全域 管理員 istrator 身分登入 Azure 入口網站。

    如果您使用 Microsoft Entra Privileged Identity Management，請啟用全域 管理員 istrator 角色指派。

  2. 開啟 Microsoft Entra ID。

  3. 在 [管理] 底下，選取 [屬性]。

    Select Properties for Microsoft Entra properties - screenshot

  4. 在 [Azure 資源的存取管理] 下，將設定切換為 [是]。

    Access management for Azure resources - screenshot

    當您將切換開關設定為 [是] 時，系統會在根範圍 （/） 的 Azure RBAC 中指派使用者存取 管理員 istrator 角色。 這會授與您在與此 Microsoft Entra 目錄相關聯的所有 Azure 訂用帳戶和管理群組中指派角色的權限。 此切換僅適用於在 Microsoft Entra ID 中獲指派全域管理員角色的使用者。

    當您將切換開關設定為 [否] 時，Azure RBAC 中的 [使用者存取] 管理員 istrator 角色會從您的使用者帳戶中移除。 您無法再指派與此 Microsoft Entra 目錄相關聯的所有 Azure 訂用帳戶和管理群組中的角色。 您只能檢視和管理已授與您存取權的 Azure 訂用帳戶和管理群組。

    注意

    如果您使用 Privileged Identity Management，停用角色指派並不會將 Azure 資源的 存取管理切換為 [否]。 若要維持最低特殊許可權的存取權，建議您在停用角色指派之前，將此切換設定為 [否 ]。

  5. 按一下 [儲存] 以儲存您的設定。

    此設定不是全域屬性，僅適用於目前登入的使用者。 您無法提高全域管理員角色之所有成員的存取權。

  6. 登出並重新登入以重新整理您的存取權。

    您現在應該可以存取您目錄中的所有訂用帳戶和管理群組。 當您檢視 [存取控制 (IAM)] 窗格時，您會注意到您已在根範圍獲取使用者存取管理員角色。

    Subscription role assignments with root scope - screenshot

  7. 執行您需要以更高存取權執行的變更。

    如需指派角色的相關信息，請參閱使用 Azure 入口網站 指派 Azure 角色。 如果您使用 Privileged Identity Management，請參閱 探索 Azure 資源來管理 或 指派 Azure 資源角色。

  8. 執行下一節中的步驟，以移除提升許可權的存取權。

步驟 2：移除提升許可權的存取權

若要在根範圍/移除使用者存取 管理員 istrator 角色指派，請遵循下列步驟。

  1. 以用來提高存取權的相同使用者身分登入。

  2. 在瀏覽清單中，按一下 [Microsoft Entra ID]，然後按一下 [屬性]。

  3. 將 [Azure 資源的存取管理] 切換開關設回 [否]。 因為這是依各個使用者設定，因此您必須以與用來提升存取權相同的使用者身分登入。

    如果您嘗試移除 [存取控制 (IAM)] 窗格上的 [使用者存取管理員] 角色指派，您會看到下列訊息。 若要移除角色指派，您必須將切換開關設回 [否]，或使用 Azure PowerShell、Azure CLI 或 REST API。

    Remove role assignments with root scope

  4. 以全域管理員身分登出。

    如果您使用 Privileged Identity Management，請停用全域 管理員 istrator 角色指派。

    注意

    如果您使用 Privileged Identity Management，停用角色指派並不會將 Azure 資源的 存取管理切換為 [否]。 若要維持最低特殊許可權的存取權，建議您在停用角色指派之前，將此切換設定為 [否 ]。

在目錄活動記錄中檢視提高存取記錄項目的許可權

提高存取權時，會將專案新增至記錄。 身為 Microsoft Entra ID 中的全域 管理員 istrator，您可能會想要檢查何時提高存取權，以及誰進行存取。 提高存取記錄專案不會出現在標準活動記錄中，而是會出現在目錄活動記錄中。 本節說明您可以檢視提升許可權存取記錄專案的不同方式。

使用 Azure 入口網站 檢視提高存取記錄項目的許可權

  1. 以全域 管理員 istrator 身分登入 Azure 入口網站。

  2. 開啟 [監視>活動記錄]。

  3. 將 [活動] 列表變更為 [目錄活動]。

  4. 搜尋下列作業，表示提高存取權動作。

    Assigns the caller to User Access Administrator role

    Screenshot showing directory activity logs in Monitor.

使用 Azure CLI 檢視提高存取記錄項目的許可權

  1. 使用 az login 命令以 Global 管理員 istrator 登入。

  2. 使用 az rest 命令進行下列呼叫，您必須依日期進行篩選，如範例時間戳所示，並指定要儲存記錄的檔名。

    會 url 呼叫 API 以擷取 Microsoft.Insights 中的記錄。 輸出將會儲存至您的檔案。

    az rest --url "https://management.azure.com/providers/Microsoft.Insights/eventtypes/management/values?api-version=2015-04-01&$filter=eventTimestamp ge '2021-09-10T20:00:00Z'" > output.txt

  3. 輸出檔案中， 搜尋 elevateAccess。

    記錄檔會類似下列內容，您可以在其中查看動作發生的時間和呼叫它的人員時間戳。

      "submissionTimestamp": "2021-08-27T15:42:00.1527942Z",
  "subscriptionId": "",
  "tenantId": "33333333-3333-3333-3333-333333333333"
},
{
  "authorization": {
    "action": "Microsoft.Authorization/elevateAccess/action",
    "scope": "/providers/Microsoft.Authorization"
  },
  "caller": "user@example.com",
  "category": {
    "localizedValue": "Administrative",
    "value": "Administrative"
  },

使用 Azure CLI 委派群組的存取權，以檢視提升許可權的存取記錄專案

如果您想要定期取得提高許可權的存取記錄專案，您可以委派群組的存取權，然後使用 Azure CLI。

  1. 開啟 Microsoft Entra ID>群組。

  2. 建立新的安全組，並記下群組對象標識碼。

  3. 使用 az login 命令以 Global 管理員 istrator 身分登入。

  4. 使用 az role assignment create 命令，將讀取者角色指派給只能讀取目錄層級記錄的群組，這些記錄位於 Microsoft/Insights。

    az role assignment create --assignee "{groupId}" --role "Reader" --scope "/providers/Microsoft.Insights"

  5. 將讀取記錄的使用者新增至先前建立的群組。

群組中的用戶現在可以定期執行 az rest 命令，以檢視提高許可權的存取記錄專案。

az rest --url "https://management.azure.com/providers/Microsoft.Insights/eventtypes/management/values?api-version=2015-04-01&$filter=eventTimestamp ge '2021-09-10T20:00:00Z'" > output.txt

下一步