scenariusz
Enterprise Agreement i dużo subskrypcji. potrzebna lista wszystkich subskrypcji wraz z ich właścicielami. moje konto nie ma uprawnień do wszystkich subskrypcji więc korzystam z przygotowanego AppID dla konta monitorującego. powinno niby być proste…
- po pierwsze trzeba zdefiniować, co się rozumie przez właściciela. mogą to być osoby, które mają nadane uprawnienie 'owner’ w IAM, ale w przypadq subskrypcji bardziej logicznym wydaje się znalezienie ’Account Administrator’ subskrypcji – czyli konta, które ją zakładało.
- po drugie, trzeba mieć konto, które będzie miało odpowiednie uprawnienia i mam takie konto – w opisywanym scenariuszu chodzi o tożsamość aplikacyjną… i tu się zaczynają schody – ale to opiszę w części praktycznej.
- po trzecie – jak mamy już prereq to trzeba wymyślić jak to przygotować
schody
Microsoft przepisuje narzędzia na Microsoft Graph, ze starego GraphAPI. a że wszystko u mnie PowerShellem stoi, ostatnimi czasy obserwuję wiele czerwonych wykwitów, a co gorsza – skrypty zaczęły się wieszać. sqpiając się jednak na zadaniu…
najpierw chciałem wylistować wszystkich, którzy mają uprawnienie 'owner’ w IAM. okazuje się, że był bug w commadlecie get-AzRoleAssignment: jeśli używa się tożsamości Aplikacji, zwracany jest błąd:
Exception of type 'Microsoft.Rest.Azure.CloudException' was thrown
błąd został poprawiony w ostatniej wersji, update commadletów, działa!… ale czy aby na pewno? co prawda błąd już nie wyskakuje i wszystkie subskrypcje się listują… ale nie ma SignInName ani DisplayName!
$s=Get-AzSubscription -SubscriptionName 'w-files' Get-AzRoleAssignment -Scope "/subscriptions/$($s.id)"|? RoleDefinitionName -eq owner RoleAssignmentName : e740d3e4-7809-4104-876c-8ce2a27edbf9 RoleAssignmentId : /subscriptions/01234567-3223-3223-2332-012345678901/providers/Microsoft.Authorization/roleAssignme nts/e740d3e4-7809-4104-876c-8ce2a27edbf9 Scope : /subscriptions/01234567-3223-3223-2332-012345678901 DisplayName : SignInName : RoleDefinitionName : Owner RoleDefinitionId : 8e3af657-a8ff-443c-a75c-2fe8c4bcb635 ObjectId : 76543210-3223-3223-2332-109876543210 ObjectType : Unknown CanDelegate : False Description : ConditionVersion : Condition :
obejściem problemu może być wykorzystanie az cli… ma pasqdną składnię, ale ma swoje zalety.
az role assignment list --subscription 01234567-3223-3223-2332-012345678901 --role owner
niedługo należy się spodziewać problemów:
The underlying Active Directory Graph API will be replaced by Microsoft Graph API in a future version of Azure CLI. Please carefully review all breaking changes introduced during this migration: https://docs.microsoft.com/cli/azure/microsoft-graph-migration
a teraz 'bardziej prawidłowy’ scenariusz, czyli listing 'account manager’. tu dla odmiany sytuacja jest odwrotna, ponieważ az cli nagle rzyga błędem:
az role assignment list --subscription 01234567-3223-3223-2332-012345678901 --include-classic-administrators
Insufficient privileges to complete the operation.
natomiast z PowerShell hula:
Get-AzRoleAssignment -Scope "/subscriptions/$($s.id)" -IncludeClassicAdministrators|? RoleDefinitionName -match 'AccountAdministrator' RoleAssignmentName : RoleAssignmentId : Scope : /subscriptions/01234567-3223-3223-2332-012345678901 DisplayName : nexor@w-files.pl SignInName : nexor@w-files.pl RoleDefinitionName : ServiceAdministrator;AccountAdministrator RoleDefinitionId : ObjectId : ObjectType : Microsoft.Authorization/classicAdministrators CanDelegate : False Description : ConditionVersion : Condition :
jedyny sensowny komentarz, jaki mi przychodzi do głowy, to starobabcine 'masz ci babo placek’. w każdym razie teraz to już bułka z masłem:
Get-AzSubscription|%{$sub=$_;Get-AzRoleAssignment -Scope "/subscriptions/$($sub.id)" -IncludeClassicAdministrators|? RoleDefinitionName -match 'AccountAdministrator'|select @{L='subscirption name';E={$sub.name}},@{L='subscription ID';E={$sub.id}},@{L='subscirption state';E={$sub.state}},@{L='owner signin name';E={$_.SignInName}},@{L='owner display name';E={$_.DisplayName}} } | export-csv -nti subscriptionList.csv
eN.
