Abonnementen en resources beheren onder het Azure-abonnement

Artikel
12/06/2023

Juiste rollen: Beheer agent

In dit artikel wordt uitgelegd hoe CSP-partners (Cloud Solution Provider) verschillende RBAC-opties (op rollen gebaseerd toegangsbeheer) kunnen gebruiken om operationeel beheer en beheer van de Azure-resources van een klant te krijgen.

Wanneer u een klant overdragt naar het Azure-plan, krijgt u standaard bevoegde beheerdersrechten in Azure: rechten van abonnementseigenaar via Beheer namens (AOBO).

Notitie

Beheer rechten voor het Azure-abonnement kunnen door de klant worden verwijderd op abonnementsniveau, resourcegroepniveau of workloadniveau.

Partners kunnen continu operationeel beheer en beheer van de Azure-resources van een klant in CSP krijgen met behulp van verschillende opties die beschikbaar zijn via de functie voor op rollen gebaseerd toegangsbeheer (RBAC).

Beheer namens - Met AOBO heeft elke gebruiker met de rol Beheer agent in de partnertenant RBAC-eigenaarstoegang tot Azure-abonnementen die u maakt via het CSP-programma.
Azure Lighthouse: AOBO heeft niet de flexibiliteit om afzonderlijke groepen te maken die met verschillende klanten werken of om verschillende rollen in te schakelen voor groepen of gebruikers. Met Behulp van Azure Lighthouse kunt u echter verschillende groepen toewijzen aan verschillende klanten of rollen. Omdat gebruikers het juiste toegangsniveau hebben via gedelegeerd resourcebeheer van Azure, kunt u het aantal gebruikers met de Beheer agentrol verminderen (en dus volledige AOBO-toegang hebben). Dit helpt de beveiliging te verbeteren door onnodige toegang tot de resources van uw klanten te beperken. Het biedt je ook meer flexibiliteit om meerdere klanten op schaal te beheren. Zie Azure Lighthouse en het Cloud Solution Provider-programma voor meer informatie.
Directory- of gastgebruikers of service-principals: u kunt gedetailleerde toegang tot CSP-abonnementen delegeren door gebruikers toe te voegen in de klantdirectory of door gastgebruikers toe te voegen en specifieke RBAC-rollen toe te wijzen.

Als beveiligingspraktijk raadt Microsoft aan gebruikers de minimale machtigingen toe te wijzen die ze nodig hebben om hun werk te doen. Zie Microsoft Entra Privileged Identity Management-resources voor meer informatie.

Koppel uw PartnerID aan uw referenties om de Azure-resources van een klant te beheren

In de volgende tabel ziet u de methoden die worden gebruikt om uw PartnerID (voorheen MPN-id) te koppelen aan verschillende RBAC-toegangsopties.

Categorie	Scenario	PartnerID-koppeling
AOBO	CSP directe partner of indirecte provider maakt het abonnement voor de klant, waardoor de directe CSP-partner of indirecte provider de standaardeigenaar van het abonnement is met behulp van AOBO. CSP directe partner of indirecte provider geeft indirecte reseller toegang tot het abonnement met behulp van AOBO.	Automatisch (geen partnerwerk vereist)
Azure Lighthouse	Partner maakt een nieuwe aanbieding voor beheerde services in Marketplace. De aanbieding wordt geaccepteerd voor het CSP-abonnement en de partner krijgt toegang tot het CSP-abonnement.	Automatisch (geen partnerwerk vereist)
Azure Lighthouse	Partner implementeert een ARM-sjabloon (Azure Resource Manager) in een Azure-abonnement	De partner moet de PartnerID koppelen aan de gebruiker of service-principal in de partnertenant. Zie Uw Partner-id koppelen om uw impact op gedelegeerde resources bij te houden voor meer informatie.
Directory- of gastgebruiker	Partner maakt een nieuwe gebruiker of service-principal in de klantdirectory en geeft toegang tot het CSP-abonnement aan de gebruiker. Partner maakt een nieuwe gebruiker of service-principal in de klantdirectory. Partner voegt de gebruiker toe aan een groep en geeft toegang tot het CSP-abonnement aan de groep.	Partner moet de PartnerID koppelen aan de gebruiker of service-principal in de tenant van de klant. Zie Een partner-id koppelen aan uw account dat wordt gebruikt voor het beheren van klanten voor meer informatie.

Controleer of u beheerderstoegang hebt

U moet beheerderstoegang hebben om de services van uw klant te beheren en om verdiende tegoeden te ontvangen. Zie Partnertegoeden voor meer informatie over verdiende tegoeden.

Gebruik de volgende stappen om te bepalen of u beheerderstoegang hebt:

Bekijk het dagelijkse gebruiksbestand: Controleer de eenheidsprijs en de effectieve eenheidsprijs in het dagelijkse gebruiksbestand en controleer of er korting wordt toegepast. Als u de korting ontvangt, bent u de beheerder.

Een Azure Monitor-waarschuwing maken

U kunt een Azure Monitor-waarschuwing voor activiteitenlogboeken maken om een melding te ontvangen als uw RBAC-toegang wordt verwijderd uit een CSP-abonnement.

Gebruik de volgende stappen om een Azure Monitor-waarschuwing te maken:

Maak een waarschuwing.
Selecteer het type actie dat u wilt uitvoeren voor de waarschuwing.

Als u bijvoorbeeld opgeeft dat u een e-mailbericht wilt ontvangen, ontvangt u een e-mailbericht met de melding dat een roltoewijzing wordt verwijderd.

AOBO verwijderen

Klanten kunnen de toegang tot hun abonnementen beheren door naar Toegangsbeheer te gaan in Azure Portal. Op het tabblad Roltoewijzingen kunnen ze Toegang verwijderen selecteren.

Als een klant uw toegang verwijdert, kunt u het volgende doen:

Neem contact op met uw klant om te zien of beheerderstoegang kan worden hersteld.
Gebruik de toegang die wordt geboden via op rollen gebaseerd toegangsbeheer (RBAC).
Gebruik de toegang die wordt geboden via Azure Lighthouse.

Op rollen gebaseerde toegang verschilt van beheerderstoegang. Rollen scheiden precies wat u wel en niet kunt doen. Beheer toegang is breder.

Zie Rollen en machtigingen voor het verdiende tegoed van de partner om de rollen te zien die in aanmerking komen voor het verdiende tegoed van de partner.

Een Azure-plan onderbreken en opnieuw activeren

Partners kunnen een Azure-plan rechtstreeks in partnercentrum onderbreken of opnieuw activeren vanaf de pagina met details van het Azure-plan.

Selecteer in Partnercentrum in Klanten het klantaccount
Ga naar de Azure-abonnementen van de klant
Het Azure-plan selecteren
Selecteer de status: onderbroken en dien vervolgens in om het Azure-plan te onderbreken.
Selecteer de status: Actief en verzend vervolgensom het Azure-plan opnieuw te activeren.

U kunt een bestaand Azure-abonnement alleen onderbreken als er geen actieve gebruiksactiva meer aan zijn gekoppeld, waaronder Azure-gebruiksabonnementen en Azure-reserveringen.

Partners kunnen slechts één Azure-abonnement kopen per specifieke reseller en klantcombinatie. Als de klant van een wederverkoper een onderbroken abonnement heeft, kan die klant geen nieuw abonnement kopen. Annulering is niet beschikbaar voor een Azure-abonnement.

Zie Een abonnement onderbreken : partner-app-ontwikkelaar voor een azure-plan opschorten per API.

Zie Een onderbroken abonnement opnieuw activeren voor Azure-plannen per API: partner-app-ontwikkelaar.

Een Azure-abonnement annuleren

Als er inbreuk is gemaakt op de Azure-abonnementsabonnementen van de klant, kunnen partners Azure-abonnementen annuleren vanuit het Partnercentrum. Deze mogelijkheid is alleen beschikbaar voor Global Beheer istrators met Beheer Agent-rollen. Dit doet u als volgt:

Selecteer de klant in de lijst met klanten
Ga naar de Azure-abonnementen van de klant
Selecteer het Azure-abonnement waaronder het abonnement valt
Selecteer op de pagina met details van het Azure-plan de Azure-abonnementen die u wilt annuleren
Verzend de wijzigingen door Abonnement annuleren te selecteren

Hiermee worden alleen de geselecteerde Azure-abonnementen geannuleerd. Klanten met toegang tot het Azure-abonnement kunnen het abonnement opnieuw activeren als het Azure-abonnement nog steeds actief is. Om dit te voorkomen, moeten partners alle Azure-abonnementen en vervolgens het Azure-abonnement zelf annuleren.

Partners kunnen de abonnementen meerdere selecties uitvoeren, maar kunnen niet meer dan 10 abonnementen tegelijk annuleren. Partners kunnen het Azure-abonnement annuleren wanneer er geen actieve Azure-abonnementen zijn. Hierdoor kunnen partners Azure-abonnementen en -abonnementen afsluiten die mogelijk zijn aangetast, zelfs als een slechte actor de RBAC-machtigingen heeft verwijderd.

Partners kunnen Azure-abonnementen annuleren via de Partnercentrum-portal of per API. Zie Een Azure-abonnement opzeggen en om het uit te proberen. Zie Azure-uitgaven - An Azure-rechten annuleren - REST API voor meer informatie over de API.

Zie Wat gebeurt er na het opzeggen van abonnementen voor meer informatie over het annuleren van Azure-abonnementen?

Een Azure-abonnement opnieuw activeren

Partners kunnen Azure-abonnementen die zijn geannuleerd opnieuw activeren vanwege inbreuk op de detailspagina van hun Azure-abonnement op hun Azure-abonnement, met behulp van het tabblad Inactieve Azure-abonnementen. Deze mogelijkheid is alleen beschikbaar voor Global Beheer istrators met Beheer Agent-rollen. Dit doet u als volgt:

Selecteer de klant in de lijst met klanten
Ga naar de Azure-abonnementen van de klant
Selecteer het Azure-abonnement waaronder het abonnement valt
Selecteer op de pagina Met details van Het Azure-abonnement, onder de sectie Azure-abonnement, het tabblad Inactief
Selecteer het Azure-abonnement om opnieuw te activeren
Verzend de wijzigingen door abonnement opnieuw activeren te selecteren

Hierdoor worden alleen de geselecteerde Azure-abonnementen opnieuw geactiveerd. Partners kunnen de abonnementen meerdere selecties uitvoeren, maar kunnen niet meer dan 10 abonnementen tegelijk opnieuw activeren. Het bijbehorende Azure-plan moet actief zijn om Azure-abonnementen opnieuw te activeren. Partners kunnen Azure-abonnementen rechtstreeks opnieuw activeren in het Partnercentrum door naar de pagina met details van het Azure-plan te gaan en de status van het Azure-plan weer bij te werken naar Actief.

Als het Azure-abonnement is geannuleerd door de klant of factureringseigenaar in Azure Portal, moet de klant of factureringseigenaar contact opnemen om het abonnement opnieuw te activeren vanuit de Azure-portal.

Zie Een Azure-abonnement opnieuw activeren- Partner-app-ontwikkelaar voor het opnieuw activeren per API. Als u het wilt uitproberen, raadpleegt u Azure-uitgaven: een Azure-recht opnieuw activeren.

Meer informatie over het opnieuw activeren van Azure-abonnementen vindt u in de Azure-documentatie.