跨订阅的 Azure Active Directory 角色

Question

我的公司在 Azure 中跨多个订阅使用多种不同的产品，并使用 Azure Active Directory 进行身份验证。

我希望我们的 IT 员工能够根据其角色访问某些类型的所有产品。例如，DBA 应该有权访问所有 Azure SQL 数据库，无论订阅或资源组如何。

我的第一个想法是，这必须作为 Azure AD 角色的一部分来完成，但我不清楚这如何应用于特定的产品类型。如果在 AD 角色之外还有更好的方法，我肯定想了解更多。

之前已经发布过类似的问题(例如 Azure Active Directory Groups/Roles )，但我想检查一下是否有更新的解决方案。

Answer 1

我不确定您链接的答案与问题有何关系。我认为你必须做两件事:

1. 为每个 IT 角色创建 Azure Active Directory 组。您可以使用attribute-based membership在 Azure Active Directory 中根据属性(例如角色)自动将成员添加到组中。

2. 迭代您的 Azure 资源并向您的组授予所需的权限。使用 PowerShell 迭代每个订阅的 Azure 资源(如果资源类型为 e)。 G。 SQL 数据库，向 Azure AD 组授予所需的权限。