Nasazení tenantů se souborem Bicep
Až se vaše organizace bude zkřovat, možná budete muset definovat a přiřazovat zásady nebo řízení přístupu na základě role v Azure (Azure RBAC) napříč vaším tenantem Azure AD. Pomocí šablon na úrovni tenanta můžete deklarativně používat zásady a přiřazovat role na globální úrovni.
Microsoft Learn
Další informace o oborech nasazení a pokyny najdete v tématu Nasazení prostředků do předplatných, skupin pro správu a tenantů pomocí Bicep na Microsoft Learn.
Podporované prostředky
Ne všechny typy prostředků je možné nasadit na úrovni tenanta. V této části je uveden seznam podporovaných typů prostředků.
Pro řízení přístupu na základě role v Azure (Azure RBAC) použijte:
Pro vnořené šablony, které se nasadí do skupin pro správu, předplatných nebo skupin prostředků, použijte:
Při vytváření skupin pro správu použijte:
K vytváření předplatných použijte:
Ke správě nákladů použijte:
Ke konfiguraci portálu použijte:
Předdefinované definice zásad jsou prostředky na úrovni tenanta, ale nemůžete v tenantovi nasazovat vlastní definice zásad. Příklad přiřazení integrované definice zásady k prostředku najdete v příkladu tenantResourceId.
Nastavení oboru
Pokud chcete nastavit rozsah na tenanta, použijte:
targetScope = 'tenant'
Požadovaný přístup
Objekt zabezpečení nasazující šablonu musí mít oprávnění k vytváření prostředků v oboru tenanta. Objekt zabezpečení musí mít oprávnění ke spuštění akcí nasazení ( ) a k vytvoření prostředků Microsoft.Resources/deployments/* definovaných v šabloně. Pokud například chcete vytvořit skupinu pro správu, musí mít objekt zabezpečení v oboru tenanta oprávnění Přispěvatel. Aby bylo možné vytvořit přiřazení rolí, musí mít objekt zabezpečení oprávnění Vlastník.
Globální správce pro Azure Active Directory nemá automaticky oprávnění k přiřazování rolí. Pokud chcete povolit nasazení šablon v oboru tenanta, musí globální správce provést následující kroky:
Zvýšit oprávnění přístupu k účtu, aby mohl globální správce přiřazovat role. Podrobnosti najdete v tématu Zvýšení úrovně přístupu pro správu všech předplatných Azure a skupin pro správu.
Přiřaďte objekt zabezpečení, který potřebuje nasadit šablony, vlastníka nebo přispěvatele.
New-AzRoleAssignment -SignInName "[userId]" -Scope "/" -RoleDefinitionName "Owner"az role assignment create --assignee "[userId]" --scope "/" --role "Owner"
Objekt zabezpečení teď má požadovaná oprávnění k nasazení šablony.
Příkazy nasazení
Příkazy pro nasazení tenantů se liší od příkazů pro nasazení skupin prostředků.
V případě Azure CLI použijte příkaz az deployment tenant create:
az deployment tenant create \
--name demoTenantDeployment \
--location WestUS \
--template-file main.bicep
Podrobnější informace o příkazech a možnostech nasazení šablon ARM najdete v těchto tématu:
- Nasazení prostředků pomocí šablon ARM a Azure CLI
- Nasazení prostředků pomocí šablon ARM a Azure PowerShell
- Nasazení šablon ARM z Cloud Shell
Umístění a název nasazení
Pro nasazení na úrovni tenanta musíte zadat umístění pro nasazení. Umístění nasazení je oddělené od umístění prostředků, které nasadíte. Umístění nasazení určuje, kam se budou ukládat data nasazení. Nasazení předplatných a skupin pro správu také vyžadují umístění. Pro nasazení skupin prostředků se k ukládání dat nasazení používá umístění skupiny prostředků.
Můžete zadat název nasazení nebo použít výchozí název nasazení. Výchozí název je název souboru šablony. Například při nasazení souboru s názvem main.bicep se vytvoří výchozí název nasazení hlavního souboru.
Pro každý název nasazení je umístění neměnné. Nasazení nemůžete vytvořit v jednom umístění, pokud existuje nasazení se stejným názvem v jiném umístění. Pokud například vytvoříte nasazení tenanta s názvem deployment1 v centralus, nemůžete později vytvořit další nasazení s názvem deployment1, ale umístěním westus. Pokud se zobrazí kód chyby , použijte pro tento název jiný název nebo stejné umístění jako InvalidDeploymentLocation předchozí nasazení.
Obory nasazení
Při nasazování do tenanta můžete nasadit prostředky do:
- tenant
- skupiny pro správu v rámci tenanta
- Odběry
- skupinám prostředků
Prostředek rozšíření může být vymezený na cíl, který se liší od cíle nasazení.
Uživatel, který šablonu nasazovat, musí mít přístup k zadanému oboru.
Tato část ukazuje, jak zadat různé obory. Tyto různé obory můžete kombinovat do jedné šablony.
Rozsah na tenanta
Prostředky definované v souboru Bicep se použijí na tenanta.
targetScope = 'tenant'
// create resource at tenant
resource mgName_resource 'Microsoft.Management/managementGroups@2020-02-01' = {
...
}
Obor na skupinu pro správu
Pokud chcete cílit na skupinu pro správu v rámci tenanta, přidejte modul. K nastavení vlastnosti použijte funkci managementGroup. scope Zadejte název skupiny pro správu.
targetScope = 'tenant'
param managementGroupName string
// create resources at management group level
module 'module.bicep' = {
name: 'deployToMG'
scope: managementGroup(managementGroupName)
}
Rozsah na předplatné
Pokud chcete cílit na předplatné v rámci tenanta, přidejte modul. K nastavení vlastnosti použijte funkci scope subscription. Zadejte ID předplatného.
targetScope = 'tenant'
param subscriptionID string
// create resources at subscription level
module 'module.bicep' = {
name: 'deployToSub'
scope: subscription(subscriptionID)
}
Obor na skupinu prostředků
Pokud chcete cílit na skupinu prostředků v rámci tenanta, přidejte modul. K nastavení vlastnosti použijte funkci resourceGroup. scope Zadejte ID předplatného a název skupiny prostředků.
targetScope = 'tenant'
param resourceGroupName string
param subscriptionID string
// create resources at resource group level
module 'module.bicep' = {
name: 'deployToRG'
scope: resourceGroup(subscriptionID, resourceGroupName)
}
Vytvoření skupiny pro správu
Následující šablona vytvoří skupinu pro správu.
targetScope = 'tenant'
param mgName string = 'mg-${uniqueString(newGuid())}'
resource mgName_resource 'Microsoft.Management/managementGroups@2020-02-01' = {
name: mgName
properties: {}
}
Pokud váš účet nemá oprávnění k nasazení do tenanta, můžete skupiny pro správu vytvořit nasazením do jiného oboru. Další informace najdete v tématu Skupina pro správu.
Přiřazení role
Následující šablona přiřadí roli v oboru tenanta.
targetScope = 'tenant'
@description('principalId if the user that will be given contributor access to the resourceGroup')
param principalId string
@description('roleDefinition for the assignment - default is owner')
param roleDefinitionId string = '8e3af657-a8ff-443c-a75c-2fe8c4bcb635'
var roleAssignmentName = guid(principalId, roleDefinitionId)
resource roleAssignment 'Microsoft.Authorization/roleAssignments@2020-03-01-preview' = {
name: roleAssignmentName
properties: {
roleDefinitionId: tenantResourceId('Microsoft.Authorization/roleDefinitions', roleDefinitionId)
principalId: principalId
}
}
Další kroky
Další informace o jiných oborech najdete v těchto tématu: