azure - CSP 订阅的权限身份管理

Question

我一直在努力寻找最好的管理访问权限的方法，并允许我们的技术人员访问我们的客户订阅和 Azure 资源，而不给予他们作为每个订阅的贡献者或类似权利的明确权利。

现在我遇到了权限身份管理功能( https://learn.microsoft.com/en-us/azure/active-directory/active-directory-privileged-identity-management-configure?toc=%2fazure%2factive-directory%2fprivileged-identity-management%2ftoc.json )，它似乎完全可以满足我的要求。例如，即时管理访问。

现在介绍如何设置对客户订阅和 Azure 租户的 CSP 访问权限，以通过客户订阅上的 AdminAgent/TenantAdmin 组提供访问权限。我只能从我们的租户中隐式地看到它们，或者当我没有明确地在客户的租户中时。换句话说，它们永远不会出现在我们自己的 Azure 门户的任何查找或下拉列表中，我总是必须明确说明我想要访问的租户 (portal.azure.com/tenant.onmicrosoft.com [顺便说一句，我对此非常满意) ])。

谁能告诉我他们是怎么做到的？我的意思是必须有某种方法可以扩展？

这两篇文章对于理解 CSP 模型的工作原理非常有帮助。第二个特别有趣，因为它提供了一种实现我想要的目标的方法，但我更喜欢一种无需将我的用户添加到客户的 Azure AD 的方法。类似于 AdminAgent/TenantAdmin 组提供的委托(delegate)管理访问权限。

https://blogs.technet.microsoft.com/hybridcloudbp/2016/06/08/identity-and-rights-management-in-csp-model/

https://blogs.technet.microsoft.com/hybridcloudbp/2017/06/05/identity-and-rights-management-in-csp-model-part2/

但我觉得这方面的信息太少了，到底应该去哪里寻求帮助呢？我发现作为 CSP 并寻求技术援助不太舒服。

Answer 1

或者，您可以实现 IAM 系统以更轻松地适本地为每个客户或合作伙伴的用户创建/删除帐户Azure AD(或任何其他目录)中的容器。

这是一个专门用于执行此类 B2B 委托(delegate)管理的解决方案:

https://hitachi-id.com/solutions/identity-express-b2b.html