Подключение клиента к Azure Lighthouse

В этой статье объясняется, как вы, как поставщик услуг, может подключить клиента к Azure Lighthouse. При этом делегированные ресурсы (подписки и/или группы ресурсов) в клиенте Microsoft Entra заказчика могут управляться пользователями вашего клиента с помощью делегированного управления ресурсами в Azure.

Процесс адаптации можно повторить для нескольких клиентов. Когда пользователь с соответствующими правами доступа входит в управляющий арендатор, он авторизуется для выполнения операций управления во всех областях аренды клиента без необходимости входа в каждый отдельный арендатор.

Для процесса внедрения требуется выполнение действий как в арендаторе поставщика услуг, так и в арендаторе клиента. Все эти шаги описаны в данной статье.

Сбор сведений о клиентах и подписках

Чтобы подключить клиентский тенант, он должен иметь активную подписку Azure. При создании шаблона вручную необходимо знать следующее:

• Идентификатор арендатора поставщика услуг (где вы будете управлять ресурсами клиента).
• Идентификатор арендатора клиента (в котором будут размещаться ресурсы, управляемые поставщиком услуг).
• Идентификаторы подписки для каждой отдельной подписки в арендаторском окружении клиента, под управлением поставщика услуг (или содержащей группы ресурсов, которые будет управлять поставщик услуг).

Если идентификатор клиента не известен, его можно retrieve с помощью портала Azure, Azure PowerShell или Azure CLI.

Если вы создайте шаблон на портале Azure, идентификатор клиента предоставляется автоматически. Чтобы создать шаблон на портале Azure, вам не нужно знать сведения о клиенте или подписке клиента. Однако если вы планируете подключить одну или несколько групп ресурсов в клиентском тенанте (а не во всей подписке), необходимо знать имена каждой группы ресурсов.

Определение ролей и разрешений

Как поставщик услуг вы можете выполнять для одного клиента несколько задач, требующих разных прав доступа для нескольких областей. Для назначения соответствующих встроенных ролей Azure можно определить столько авторизаций, сколько необходимо. Каждая авторизация включает principalId, которая относится к пользователю, группе или служебному принципалу Microsoft Entra в управляемой организации.

Чтобы определить авторизации в шаблоне, вам нужно добавить значения идентификаторов для каждого пользователя, группы пользователей или субъекта-службы в управляющем арендаторе, к которому вы предоставляете доступ. Вам также потребуется добавить идентификатор определения роли для каждой встроенной роли, которую вы хотите назначить. Когда вы создайте шаблон на портале Azure, вы можете выбрать учетную запись пользователя и роль, а эти значения идентификаторов будут добавлены автоматически. Если вы создаёте шаблон вручную, вы можете получить идентификаторы пользователей с помощью портала Azure, Azure PowerShell или Azure CLI из управляющего арендатора.

По возможности рекомендуется использовать группы пользователей Microsoft Entra для каждого назначения, а не отдельных пользователей. Это дает вам возможность добавлять или удалять отдельных пользователей в группе с доступом, чтобы не повторять процесс адаптации при изменении пользователей. Можно также назначить роли субъекту-службе, который может быть полезен для сценариев автоматизации.

При определении авторизаций обязательно следуйте принципам минимальных привилегий, чтобы у пользователей были только разрешения, необходимые для выполнения их обязанностей. Сведения о поддерживаемых ролях и рекомендациях см. в разделе Тенанты, пользователи и роли в сценариях Azure Lighthouse.

Чтобы отслеживать влияние на взаимодействие с клиентами и получать признание, свяжите идентификатор программы партнер Microsoft Cloud Partner по крайней мере с одной учетной записью пользователя, которая имеет доступ к каждой из подключенных подписок. Обратите внимание, что эту привязку необходимо выполнять в клиенте поставщика службы. Рекомендуется создать учетную запись представителя службы в вашем клиенте, связанную с идентификатором партнера, а затем использовать эту учетную запись каждый раз при подключении клиента. Дополнительные сведения см. в разделе "Связывание идентификатора партнера".

Создание шаблона Azure Resource Manager

Чтобы подключить клиента, необходимо создать шаблон Azure Resource Manager для вашего предложения со следующими сведениями. Значения mspOfferName и mspOfferDescription будут видны клиенту на странице Поставщики услуг портала Azure после развертывания шаблона в тенанте клиента.

Этот шаблон можно создать на портале Azure или вручную изменить шаблоны, предоставленные в репозитории samples.

Создание шаблона на портале Azure

Чтобы создать шаблон на портале Azure, перейдите к Мые клиенты и выберите Создание шаблона ARM на странице обзора.

На странице Создать предложение шаблона ARM введите произвольное имя и (необязательно) описание. Эти значения будут использоваться для mspOfferName и mspOfferDescription в шаблоне и могут быть видимы вашему клиенту. Значение managedByTenantId будет предоставлено автоматически на основе учетной записи арендатора Microsoft Entra, в которую вы вошли.

Теперь выберите вариант Подписка или Группа ресурсов, в зависимости от области клиента, которую вы хотите подключить. Если вы выберете вариант Группа ресурсов, нужно будет указать имя подключаемой группы ресурсов. При необходимости можно выбрать значок +, чтобы добавить дополнительные группы ресурсов в ту же подписку. (Чтобы подключить дополнительные группы ресурсов в другой подписке, необходимо создать и развернуть отдельный шаблон для этой подписки.)

И, наконец, создайте авторизации, нажав + Добавить авторизацию. Для каждой авторизации предоставьте следующие сведения:

1. Выберите тип субъекта в зависимости от типа учетной записи, которую вы хотите включить в авторизацию. Это может быть Пользователь, Группа или Субъект-служба. В нашем примере выбран вариант Пользователь.
2. Щелкните ссылку Выбрать пользователя, чтобы открыть панель выбора. Вы можете найти нужного пользователя с помощью поля для поиска. Как только вы это сделаете, щелкните Выбрать. У пользователя автоматически будет заполнено поле Основной идентификатор.
3. Кроме того, просмотрите значение в поле Отображаемое имя (которое заполняется в зависимости от выбранного пользователя) и внесите требуемые изменения.
4. Выберите роль, которую нужно назначить этому пользователю.
5. Для типа Доступ выберите Постоянный или Допустимый. Если вы выберете вариант Допустимый, нужно будет указать значения максимальной длительности, многофакторной проверки подлинности и требования утверждения. Более подробные сведения об этих вариантах см. в статье Создание соответствующих авторизаций. Функция допустимых авторизаций не может использоваться с учетными записями служб.
6. Щелкните команду Добавить, чтобы создать новую авторизацию.

Выбрав команду Добавить, вы вернетесь на экран Создать предложение шаблона ARM. Вы можете снова щелкнуть элемент Добавление авторизации, чтобы добавить столько авторизаций, сколько потребуется.

Завершив добавление, щелкните элемент Просмотр шаблона. На этом экране вы увидите JSON-файл, составленный по введенным вами значениям. Щелкните команду Скачать, чтобы сохранить копию этого JSON-файла. Этот шаблон теперь можно развернуть в арендаторе клиента. Кроме того, вы можете вручную изменить его, если потребуется.

Создание шаблона вручную

Вы можете создать шаблон с помощью шаблона Azure Resource Manager (предоставленного в нашем репозитории samples) и соответствующего файла параметров, который вы изменяете для сопоставления конфигурации и определения авторизации. При желании вы можете включить все данные прямо в шаблон, не создавая отдельный файл параметров.

Выбора шаблона будет зависеть от того, подключаете ли вы всю подписку, группу ресурсов или несколько групп ресурсов в пределах подписки. Мы также предоставляем шаблон, который можно использовать для клиентов, которые приобрели предложение управляемой службы, опубликованное в Майкрософт Marketplace, если вы предпочитаете подключить свои подписки таким образом.

Если вы хотите включить допустимые авторизации, выберите соответствующий шаблон из раздела "delegated-resource-management-eligible-authorizations" в репозитории наших примеров.

В следующем примере показан измененный файл subscription.parameters.json, который может использоваться для подключения подписки. Файлы параметров группы ресурсов (расположенные в папке rg-delegated-resource-management) имеют аналогичный формат, но они также включают параметр rgName для идентификации определенных групп ресурсов, которые необходимо подключить.

{
    "$schema": "https://schema.management.azure.com/schemas/2018-05-01/subscriptionDeploymentParameters.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "mspOfferName": {
            "value": "Fabrikam Managed Services - Interstellar"
        },
        "mspOfferDescription": {
            "value": "Fabrikam Managed Services - Interstellar"
        },
        "managedByTenantId": {
            "value": "00000000-0000-0000-0000-000000000000"
        },
        "authorizations": {
            "value": [
                {
                    "principalId": "00000000-0000-0000-0000-000000000000",
                    "principalIdDisplayName": "Tier 1 Support",
                    "roleDefinitionId": "b24988ac-6180-42a0-ab88-20f7382dd24c"
                },
                {
                    "principalId": "00000000-0000-0000-0000-000000000000",
                    "principalIdDisplayName": "Tier 1 Support",
                    "roleDefinitionId": "36243c78-bf99-498c-9df9-86d9f8d28608"
                },
                {
                    "principalId": "00000000-0000-0000-0000-000000000000",
                    "principalIdDisplayName": "Tier 2 Support",
                    "roleDefinitionId": "acdd72a7-3385-48ef-bd42-f606fba81ae7"
                },
                {
                    "principalId": "00000000-0000-0000-0000-000000000000",
                    "principalIdDisplayName": "Service Automation Account",
                    "roleDefinitionId": "b24988ac-6180-42a0-ab88-20f7382dd24c"
                },
                {
                    "principalId": "00000000-0000-0000-0000-000000000000",
                    "principalIdDisplayName": "Policy Automation Account",
                    "roleDefinitionId": "18d7d88d-d35e-4fb5-a5c3-7773c20a72d9",
                    "delegatedRoleDefinitionIds": [
                        "b24988ac-6180-42a0-ab88-20f7382dd24c",
                        "92aaf0da-9dab-42b6-94a3-d43ce8d16293"
                    ]
                }
            ]
        }
    }
}

Последняя авторизация в приведенном выше примере добавляет principalId роль администратора доступа пользователей (18d7d88d-d35e-4fb5-a5c3-7773c20a72d9). При назначении этой роли необходимо включить свойство delegatedRoleDefinitionIds и одну или несколько поддерживаемых Azure встроенных ролей. Пользователь, созданный с этой авторизацией, сможет назначить эти роли управляемым удостоверениям в арендаторе клиента, что необходимо для развертывания политик, подлежащих устранению. Пользователь также может создавать обращения в службу поддержки. К этому principalIdобычно не применяются другие разрешения, связанные с ролью администратора доступа пользователей.

Развертывание шаблона Azure Resource Manager

Когда вы завершите создание шаблона, пользователю нужно будет развернуть его в арендаторе клиента. Отдельное развертывание необходимо для каждой подписки, которую вы хотите подключить (или для каждой подписки, которая содержит группы ресурсов, которые вы хотите подключить).

При подключении подписки (или одной или нескольких групп ресурсов в подписке) с помощью описанного здесь процесса Майкрософт. ManagedServices поставщик ресурсов будет зарегистрирован для этой подписки.

Развертывание можно выполнить на портале Azure с помощью Azure CLI или с помощью PowerShell.

# Log in first with az login if you're not using Cloud Shell

# Deploy Azure Resource Manager template using template and parameter file locally
az deployment sub create --name <deploymentName> \
                         --location <AzureRegion> \
                         --template-file <pathToTemplateFile> \
                         --verbose

# Deploy external Azure Resource Manager template, with local parameter file
az deployment sub create --name <deploymentName> \
                         --location <AzureRegion> \
                         --template-uri <templateUri> \
                         --verbose

# Log in first with az login if you're not using Cloud Shell

# Deploy Azure Resource Manager template using template and parameter file locally
az deployment sub create --name <deploymentName> \
                         --location <AzureRegion> \
                         --template-file <pathToTemplateFile> \
                         --parameters <parameters/parameterFile> \
                         --verbose

# Deploy external Azure Resource Manager template, with local parameter file
az deployment sub create --name <deploymentName> \
                         --location <AzureRegion> \
                         --template-uri <templateUri> \
                         --parameters <parameterFile> \
                         --verbose

# Log in first with Connect-AzAccount if you're not using Cloud Shell

# Deploy Azure Resource Manager template using template and parameter file locally
New-AzSubscriptionDeployment -Name <deploymentName> `
                 -Location <AzureRegion> `
                 -TemplateFile <pathToTemplateFile> `
                 -Verbose

# Deploy Azure Resource Manager template that is located externally
New-AzSubscriptionDeployment -Name <deploymentName> `
                 -Location <AzureRegion> `
                 -TemplateUri <templateUri> `
                 -Verbose

# Log in first with Connect-AzAccount if you're not using Cloud Shell

# Deploy Azure Resource Manager template using template and parameter file locally
New-AzSubscriptionDeployment -Name <deploymentName> `
                 -Location <AzureRegion> `
                 -TemplateFile <pathToTemplateFile> `
                 -TemplateParameterFile <pathToParameterFile> `
                 -Verbose

# Deploy Azure Resource Manager template that is located externally
New-AzSubscriptionDeployment -Name <deploymentName> `
                 -Location <AzureRegion> `
                 -TemplateUri <templateUri> `
                 -TemplateParameterUri <parameterUri> `
                 -Verbose

Подтверждение успешного подключения

Когда подписка клиента успешно подключена к Azure Lighthouse, пользователи в клиенте поставщика услуг смогут просматривать подписку и ее ресурсы, если им предоставлен доступ к нему через описанный выше процесс, либо в качестве члена группы Microsoft Entra с соответствующими разрешениями. Вы можете убедиться, что ресурсы были успешно делегированы с помощью портала Azure, Azure PowerShell или Azure CLI.

# Log in first with az login if you're not using Cloud Shell

az account list

# Confirm successful onboarding for Azure Lighthouse

az managedservices definition list
az managedservices assignment list

# Log in first with Connect-AzAccount if you're not using Cloud Shell

Get-AzContext

# Confirm successful onboarding for Azure Lighthouse

Get-AzManagedServicesDefinition
Get-AzManagedServicesAssignment

Если необходимо внести изменения после подключения клиента, можно обновить делегирование. Вы также можете полностью отменить доступ к делегированию.

Устранение неполадок

Если вы не сможете успешно подключить клиента или у пользователей возникли проблемы с доступом к делегированным ресурсам, проверьте следующие советы и требования и повторите попытку.

• Пользователям, которым необходимо просмотреть ресурсы клиентов на портале Azure, необходимо предоставить роль Reader (или другую встроенную роль, которая включает доступ читателя) во время процесса подключения.
• Значение managedbyTenantId не должно совпадать с идентификатором клиента для подключаемой подписки.
• Нельзя использовать несколько назначений в одной и той же области с одним и тем же именем mspOfferName.
• Майкрософт. ManagedServices поставщик ресурсов должен быть зарегистрирован для делегированной подписки. Это должно происходить автоматически во время развертывания, но вы также можете зарегистрировать его вручную.
• Авторизации не должны включать каких-либо пользователей с ролью Owner, никаких ролей с DataActions или любых ролей, которые включают ограниченные действия.
• Группы должны создаваться с типом группы, установленным на Security, а не Microsoft 365.
• Если доступ был предоставлен группе, убедитесь, что пользователь является членом этой группы. Если их нет, вы можете добавить их в группу с помощью Microsoft Entra ID без необходимости в выполнении другого развертывания. Обратите внимание, что владельцы групп не обязательно являются членами групп, которыми они управляют, и может потребоваться добавить их для доступа.
• Прежде чем будет включен доступ для вложенных групп, может быть дополнительная задержка.
• Встроенные роли Azure, которые вы включаете в авторизации, не должны включать нерекомендуемые роли. Если встроенная роль Azure становится нерекомендуемой, все пользователи, которые были подключены с этой ролью, потеряют доступ, и вы не сможете подключить дополнительные делегирования. Чтобы устранить эту проблему, обновите шаблон для использования только поддерживаемых встроенных ролей, а затем выполните новое развертывание.

Следующие шаги

• Узнайте больше об интерфейсах управления для различных клиентов.
• Просмотр и управление клиентами, перейдите в раздел Мои клиенты на портале Azure.
• Узнайте, как обновить или удалить делегирование.