Bevilja åtkomst för att skapa Azure Enterprise-prenumerationer (äldre)

Som Azure-kund med ett Enterprise-avtal (EA) kan du ge en annan användare eller ett tjänsthuvudnamn behörighet att skapa prenumerationer som debiteras ditt konto. I den här artikeln får du lära dig hur du använder rollbaserad åtkomstkontroll i Azure (Azure RBAC) för att dela möjligheten att skapa prenumerationer och hur du granskar skapande av prenumerationer. Du måste ha ägarrollen för det konto som du vill dela.

Bevilja åtkomst

För att kunna skapa prenumerationer under ett registreringskonto måste användarna ha rollen Azure RBAC-ägare för det kontot. Så här ger du en användare eller en grupp av användare rollen Azure RBAC-ägare för ett registreringskonto:

1. Hämta objekt-ID:t för det registreringskonto som du vill bevilja åtkomst till

   Om du vill ge andra rollen Azure RBAC-ägare för ett registreringskonto måste du vara antingen kontoägare eller Azure RBAC-ägare för kontot.

   • VILA
   • PowerShell
   • Azure CLI

   Begära en lista över alla registreringskonton som du har åtkomst till:

   GET https://management.azure.com/providers/Microsoft.Billing/enrollmentAccounts?api-version=2018-03-01-preview
   

   Azure svarar med en lista över alla registreringskonton som du har åtkomst till:

   {
     "value": [
       {
         "id": "/providers/Microsoft.Billing/enrollmentAccounts/aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",
         "name": "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",
         "type": "Microsoft.Billing/enrollmentAccounts",
         "properties": {
           "principalName": "SignUpEngineering@contoso.com"
         }
       },
       {
         "id": "/providers/Microsoft.Billing/enrollmentAccounts/4cd2fcf6-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
         "name": "4cd2fcf6-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
         "type": "Microsoft.Billing/enrollmentAccounts",
         "properties": {
           "principalName": "BillingPlatformTeam@contoso.com"
         }
       }
     ]
   }
   

   Använd egenskapen principalName för att identifiera det konto som du vill bevilja Azure RBAC-ägaråtkomst till. Kopiera name för det kontot. Om du till exempel vill bevilja Azure RBAC-ägaråtkomst till registreringskontot SignUpEngineering@contoso.com kopierar du aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb. Det här är objekt-ID:t för registreringskontot. Klistra in det här värdet någonstans så att du kan använda det som enrollmentAccountObjectId i nästa steg.

   Använd egenskapen principalName för att identifiera det konto som du vill bevilja Azure RBAC-ägaråtkomst till. Kopiera name för det kontot. Om du till exempel vill bevilja Azure RBAC-ägaråtkomst till registreringskontot SignUpEngineering@contoso.com kopierar du aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb. Det här är objekt-ID:t för registreringskontot. Klistra in det här värdet någonstans så att du kan använda det som enrollmentAccountObjectId i nästa steg.

2. Hämta objekt-ID för den användare eller grupp som du vill ge rollen Azure RBAC-ägare

   1. I Azure-portalen söker du efter Microsoft Entra ID.
   2. Om du vill ge en användare åtkomst väljer du Användare på menyn till vänster. Om du vill ge åtkomst till en grupp väljer du Grupper.
   3. Välj den användare eller grupp som du vill ge rollen Azure RBAC-ägare.
   4. Om du har valt en användare hittar du objekt-ID:t på profilsidan. Om du har valt en grupp visas objekt-ID:t på översiktssidan. Kopiera ObjectID genom att välja ikonen till höger om textrutan. Klistra in det här värdet någonstans så att du kan använda det som userObjectId i nästa steg.

3. Bevilja användaren eller gruppen rollen Azure RBAC-ägare för registreringskontot

   Använd de värden som du samlade in i de första två stegen och ge användaren eller gruppen rollen Azure RBAC-ägare för registreringskontot.

   • VILA
   • PowerShell
   • Azure CLI

   Gör följande kommando och ersätt <enrollmentAccountObjectId> med värdet för name som du kopierade i det första steget (aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb). Ersätt <userObjectId> med det objekt-ID som du kopierade från det andra steget.

   PUT  https://management.azure.com/providers/Microsoft.Billing/enrollmentAccounts/<enrollmentAccountObjectId>/providers/Microsoft.Authorization/roleAssignments/<roleAssignmentGuid>?api-version=2015-07-01
   
   {
     "properties": {
       "roleDefinitionId": "/providers/Microsoft.Billing/enrollmentAccounts/<enrollmentAccountObjectId>/providers/Microsoft.Authorization/roleDefinitions/<ownerRoleDefinitionId>",
       "principalId": "<userObjectId>"
     }
   }
   

   När ägarrollen har tilldelats för omfånget Registreringskonto svarar Azure med information om rolltilldelningen:

   {
     "properties": {
       "roleDefinitionId": "/providers/Microsoft.Billing/enrollmentAccounts/providers/Microsoft.Authorization/roleDefinitions/<ownerRoleDefinitionId>",
       "principalId": "<userObjectId>",
       "scope": "/providers/Microsoft.Billing/enrollmentAccounts/aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",
       "createdOn": "2018-03-05T08:36:26.4014813Z",
       "updatedOn": "2018-03-05T08:36:26.4014813Z",
       "createdBy": "<assignerObjectId>",
       "updatedBy": "<assignerObjectId>"
     },
     "id": "/providers/Microsoft.Billing/enrollmentAccounts/providers/Microsoft.Authorization/roleDefinitions/<ownerRoleDefinitionId>",
     "type": "Microsoft.Authorization/roleAssignments",
     "name": "<roleAssignmentGuid>"
   }
   

Granska vem som har skapat prenumerationer med hjälp av aktivitetsloggar

Om du vill spåra prenumerationer som har skapats via det här API:et använder du API:et för klientaktivitetsloggen. Det är för närvarande inte möjligt att använda PowerShell, CLI eller Azure-portalen för att spåra skapande av prenumerationer.

1. Som klientadministratör för Microsoft Entra-klientorganisationen höjer du åtkomsten och tilldelar sedan en läsarroll till granskningsanvändaren över omfånget /providers/microsoft.insights/eventtypes/management. Den här åtkomsten är tillgänglig i rollen läsare, övervakningsdeltagare eller en anpassad roll.

2. Som granskningsanvändare anropar du API:et för klientaktivitetsloggen för att visa aktiviteter för skapande av prenumerationer. Exempel:

   GET "/providers/Microsoft.Insights/eventtypes/management/values?api-version=2015-04-01&$filter=eventTimestamp ge '{greaterThanTimeStamp}' and eventTimestamp le '{lessThanTimestamp}' and eventChannels eq 'Operation' and resourceProvider eq 'Microsoft.Subscription'"
   

Du kan anropa det här API:et från kommandoraden med hjälp av ARMClient.

Relaterat innehåll

• Nu när användaren eller tjänsthuvudnamnet har behörighet att skapa en prenumeration kan du använda den identiteten för att skapa Azure Enterprise-prenumerationer programmatiskt.
• Ett exempel på hur du skapar prenumerationer med .NET finns i exempelkod på GitHub.
• Mer information om Azure Resource Manager och dess API:er finns i översikten över Azure Resource Manager.
• Mer information om hur du hanterar ett stort antal prenumerationer med hanteringsgrupper finns i Ordna resurser med hanteringsgrupper i Azure
• Omfattande metodtips angående prenumerationsåtgärder för stora företag finns i Azure enterprise-kodskelett – förebyggande prenumerationsåtgärder