Atribuir funções aos nomes principais do serviço Azure Contrato Enterprise

Pode gerir a sua inscrição Contrato Enterprise (EA) no portal Azure Enterprise. Pode criar diferentes funções para gerir a sua organização, ver custos e criar subscrições. Este artigo ajuda-o a automatizar algumas dessas tarefas utilizando Azure PowerShell e REST APIs com nomes principais do serviço Azure (SPNs).

Antes de começar, certifique-se de que está familiarizado com os seguintes artigos:

Crie e aututenda o seu principal de serviço

Para automatizar as ações da EA utilizando uma SPN, é necessário criar uma aplicação Azure Ative Directory (Azure AD). Pode autenticar de forma automatizada.

Siga os passos nestes artigos para criar e autenticar o seu principal serviço.

Aqui está um exemplo da página de registo de inscrição.

Screenshot mostrando Registar uma aplicação.

Encontre o seu SPN e iD inquilino

Você também precisa do objeto ID do SPN e o iD do inquilino da app. Precisa desta informação para operações de atribuição de permissão mais tarde neste artigo.

  1. Abra Azure Ative Directory e, em seguida, selecione aplicações Enterprise.

  2. Encontre a sua aplicação na lista.

    Screenshot mostrando uma aplicação de empresa exemplo.

  3. Selecione a aplicação para encontrar o ID da aplicação e o ID do objeto:

    Screenshot mostrando um ID de aplicação e iD de objeto para uma aplicação da empresa.

  4. Vá à página geral da Microsoft Azure AD para encontrar a identificação do inquilino.

    Imagem mostrando a identificação do inquilino.

Nota

A identificação do seu inquilino pode ser chamada de identificação principal, SPN ou identificação de objeto em outros locais. O valor do seu ID de inquilino Azure AD parece um GUID com o seguinte formato: 11111111-1111-1111-1111-111111111111 .

Permissões que podem ser atribuídas ao SPN

Mais tarde neste artigo, você dará permissão para a app AZure AD para agir usando um papel EA. Pode atribuir apenas as seguintes funções ao SPN, e precisa da definição de papel ID, exatamente como mostrado.

Função Ações permitidas ID de definição de papel
Leitor de Inscrições Pode ver o uso e os encargos em todas as contas e subscrições. Pode ver o saldo do pré-pagamento do Azure (anteriormente chamado de compromisso monetário) associado à inscrição. 24f8edb6-1668-4659-b5e2-40bb5f3a7d7e
Comprador da EA Compre ordens de reserva e veja transações de reservas. Pode ver o uso e os encargos em todas as contas e subscrições. Pode ver o saldo do pré-pagamento do Azure (anteriormente chamado de compromisso monetário) associado à inscrição. da6647fb-7651-49ee-be91-c43c4877f0c4
DepartmentReader Descarregue os detalhes de utilização para o departamento que administram. Pode ver o uso e as taxas associadas ao seu departamento. db609904-a47f-4794-9be8-9bd86fbffd8a
Contrator Criar novas subscrições no âmbito de conta. a0bcee42-bf30-4d1b-926a-48d21664ef71
  • Um papel de RegistrationReader só pode ser atribuído a um SPN por um utilizador que tenha um papel de escritor de inscrição.
  • Um papel do DepartmentReader só pode ser atribuído a um SPN por um utilizador que tenha um papel de escritor de matrícula ou de escritor de departamento.
  • Uma função de SubscriptionCreator só pode ser atribuída a um SPN por um utilizador que seja o proprietário da conta de inscrição. O papel não é mostrado no portal da EA. É criado por meios programáticos e é apenas para uso programático.
  • O papel de comprador da EA não é mostrado no portal EA. É criado por meios programáticos e é apenas para uso programático.

Atribuir permissão de conta de inscrição para o SPN

  1. Leia as Atribuições de Funções - Coloque o artigo da API REST. Enquanto lê o artigo, selecione Experimente-o para começar usando o SPN.

    Screenshot mostrando a opção Try It no artigo 'Put'.

  2. Use as credenciais de conta para iniciar sessão no arrendatário com o acesso à inscrição que pretende atribuir.

  3. Fornecer os seguintes parâmetros como parte do pedido da API.

    • billingAccountName: Este parâmetro é o ID da conta de faturação. Pode encontrá-lo no portal Azure na página de visão geral de Gestão de Custos + Faturação.

      Screenshot mostrando identificação da conta de Billing.

    • billingRoleAssignmentName: Este parâmetro é um GUID único que precisa de fornecer. Pode gerar um GUID utilizando o comando New-Guid PowerShell. Também pode utilizar o website Online GUID / UUID Generator para gerar um GUID único.

    • api-version: Utilize a versão de pré-visualização 2019-10-01. Utilize o corpo de pedido de amostra nas atribuições de funções - Colocar - Exemplos.

      O corpo de pedido tem código JSON com três parâmetros que precisa de utilizar.

      Parâmetro Onde encontrá-lo
      properties.principalId É o valor do Objeto ID. Consulte a sua identificação SPN e inquilino.
      properties.principalTenantId Consulte a sua identificação SPN e inquilino.
      properties.roleDefinitionId /providers/Microsoft.Billing/billingAccounts/{BillingAccountName}/billingRoleDefinitions/24f8edb6-1668-4659-b5e2-40bb5f3a7d7e

      O nome da conta de faturação é o mesmo parâmetro que usou nos parâmetros da API. É a identificação de inscrição que se vê no portal EA e no portal Azure.

      Note que 24f8edb6-1668-4659-b5e2-40bb5f3a7d7e é um ID de definição de papel de faturação para um Leitor de Inscrição.

  4. Selecione Executar para iniciar o comando.

    Screenshot mostrando uma atribuição de função de exemplo colocou Try It com informações de exemplo prontas a executar.

    Uma 200 OK resposta mostra que o SPN foi adicionado com sucesso.

Agora pode utilizar o SPN para aceder automaticamente às APIs da EA. O SPN tem o papel de Leitore de Matrículas.

Atribuir permissão de papel de comprador da EA à SPN

Para o papel de comprador da EA, utilize os mesmos passos para o leitor de inscrição. Especificar o roleDefinitionId , usando o seguinte exemplo:

"/providers/Microsoft.Billing/billingAccounts/1111111/billingRoleDefinitions/ da6647fb-7651-49ee-be91-c43c4877f0c4"

Atribua o papel de leitor de departamentos à SPN

  1. Leia as atribuições de funções do Departamento de Inscrição - Coloque o artigo da API REST. Enquanto lê o artigo, selecione Experimente- o.

    Screenshot mostrando a opção Try It na função atribuições de funções do Departamento de Inscrição Colocar artigo.

  2. Use as credenciais de conta para iniciar sessão no arrendatário com o acesso à inscrição que pretende atribuir.

  3. Fornecer os seguintes parâmetros como parte do pedido da API.

    • billingAccountName: Este parâmetro é o ID da conta de faturação. Pode encontrá-lo no portal Azure na página de visão geral de Gestão de Custos + Faturação.

      Screenshot mostrando identificação da conta de Billing.

    • billingRoleAssignmentName: Este parâmetro é um GUID único que precisa de fornecer. Pode gerar um GUID utilizando o comando New-Guid PowerShell. Também pode utilizar o website Online GUID / UUID Generator para gerar um GUID único.

    • departmentName: Este parâmetro é o ID do departamento. Pode ver iDs de departamento no portal Azure na página de Departamentos de Gestão de Custos + > Faturação.

      Para este exemplo, usamos o departamento ACE. O ID para o exemplo é 84819 .

      Screenshot mostrando um exemplo de identificação do departamento.

    • api-version: Utilize a versão de pré-visualização 2019-10-01. Utilize a amostra nas atribuições de funções do Departamento de Inscrição - Put.

      O corpo de pedido tem código JSON com três parâmetros que precisa de utilizar.

      Parâmetro Onde encontrá-lo
      properties.principalId É o valor do Objeto ID. Consulte a sua identificação SPN e inquilino.
      properties.principalTenantId Consulte a sua identificação SPN e inquilino.
      properties.roleDefinitionId /providers/Microsoft.Billing/billingAccounts/{BillingAccountName}/billingRoleDefinitions/db609904-a47f-4794-9be8-9bd86fbffd8a

      O nome da conta de faturação é o mesmo parâmetro que usou nos parâmetros da API. É a identificação de inscrição que se vê no portal EA e no portal Azure.

      A definição de papel de faturação db609904-a47f-4794-9be8-9bd86fbffd8a iD é para um leitor de departamento.

  4. Selecione Executar para iniciar o comando.

    Screenshot mostrando um exemplo Atribuições de Função do Departamento de Inscrição - Coloque REST Tente-o com informações de exemplo prontas a executar.

    Uma 200 OK resposta mostra que o SPN foi adicionado com sucesso.

Agora pode utilizar o SPN para aceder automaticamente às APIs da EA. O SPN tem o papel de DepartmentReader.

Atribuir o papel de criador de subscrição ao SPN

  1. Leia as Atribuições de Função de Conta de Inscrição - Coloque artigo. Enquanto o lê, selecione Try It para atribuir o papel de criador de subscrição ao SPN.

    Screenshot mostrando a opção 'Tentar', nas atribuições de funções de conta de inscrição, coloque artigo.

  2. Use as credenciais de conta para iniciar sessão no arrendatário com o acesso à inscrição que pretende atribuir.

  3. Fornecer os seguintes parâmetros como parte do pedido da API. Leia o artigo nas Atribuições de Função de Conta de Inscrição - Colocar - Parâmetros URI.

    • billingAccountName: Este parâmetro é o ID da conta de faturação. Pode encontrá-lo no portal Azure na página de visão geral de Gestão de Custos + Faturação.

      Screenshot mostrando o ID da conta de Faturação.

    • billingRoleAssignmentName: Este parâmetro é um GUID único que precisa de fornecer. Pode gerar um GUID utilizando o comando New-Guid PowerShell. Também pode utilizar o website Online GUID/UUID Generator para gerar um GUID único.

    • enrollmentAccountName: Este parâmetro é o ID da conta. Encontre o ID da conta para o nome da conta no portal Azure na página De Gestão de Custos + Faturação.

      Para este exemplo, usamos a Conta de Teste GTM. A identificação 196987 é.

      Screenshot mostrando a identificação da conta.

    • api-version: Utilize a versão de pré-visualização 2019-10-01. Utilize a amostra nas atribuições de funções do Departamento de Inscrição - Colocar - Exemplos.

      O corpo de pedido tem código JSON com três parâmetros que precisa de utilizar.

      Parâmetro Onde encontrá-lo
      properties.principalId É o valor do Objeto ID. Consulte a sua identificação SPN e inquilino.
      properties.principalTenantId Consulte a sua identificação SPN e inquilino.
      properties.roleDefinitionId /providers/Microsoft.Billing/billingAccounts/{BillingAccountID}/enrollmentAccounts/196987/billingRoleDefinitions/a0bcee42-bf30-4d1b-926a-48d21664ef71

      O nome da conta de faturação é o mesmo parâmetro que usou nos parâmetros da API. É a identificação de inscrição que se vê no portal EA e no portal Azure.

      O ID de definição de papel de faturação a0bcee42-bf30-4d1b-926a-48d21664ef71 é para o papel de criador de subscrição.

  4. Selecione Executar para iniciar o comando.

    Screenshot mostrando a opção Try It nas atribuições de funções de conta de inscrição - Coloque artigo

    Uma 200 OK resposta mostra que o SPN foi adicionado com sucesso.

Agora pode utilizar o SPN para aceder automaticamente às APIs da EA. O SPN tem o papel de SubscriptionCreator.

Passos seguintes

Saiba mais sobre a administração do portal Azure EA.