azure - 使用 Multi-Tenancy 应用程序从 Azure 租户获取订阅

Question

我正在尝试构建一个 Multi-Tenancy 应用程序来从我的个人帐户检索所有订阅信息。

使用 Powershell ARM 我能够检索此信息:

但是，当尝试使用 azure 管理 API 执行此操作时:

https://management.azure.com/subscriptions?api-version=2016-06-01

使用使用我的租户、应用程序 ID 和 key 生成的 JWT，它会返回以下内容:

{"value": [] }

我的应用程序权限看起来不错:

我的权限是否遗漏了某些内容？

编辑:我可以让我的租户使用相同的端点。这是否与我公司对 AAD 用户的权限有关？

Answer 1

首先，您正在使用客户端凭据流程。通过此流程，您无法代表用户。 委派权限不适用于此流程，而是适用于其他代表用户流程，例如代码授予流程。因此，您需要选择需要使用哪一个流程。如果您仍想使用客户端凭据流程，您可以采取以下步骤授予其权限:

您需要通过 Azure RBAC 将角色分配给您的服务主体。转到 Azure 门户 > 选择一个特定订阅 > 访问控制 (IAM) > 添加 > 选择您的服务主体 > 选择贡献者角色 > 保存

您可以采取相同的步骤从其他订阅将分配角色添加到您的 sp。

执行此操作后，您可以拥有足够的权限通过客户端凭据流使用 REST API。

关于其他租户的列表订阅:

我没有对此进行测试，因为我没有多个订阅。但对于 Multi-Tenancy APP，还需要其他租户管理员同意并为其分配角色。

通过客户端凭据流程，您仍然只能获取一个租户的访问 token 。因此，您只能列出一个租户的订阅一次。

更新:

<小时/>

甚至 powershell 实际上也多次从不同租户 ID 的其他租户获取订阅。 因此，您不能直接使用 API 来实现这一点。

我使用 Fiddler 通过运行 Get-azureRMsubscriptions 的 Powershell 来捕获流量:

希望这有帮助!