powershell - Azure - 及时访问您不拥有的订阅中的虚拟机

Question

我正在尝试设置Just in Time Access在 Azure 中，所以我有一个订阅帐户，我在其中启用了安全中心标准版(JIT 所需)。我在那里创建了一个资源组和一个虚拟机。

现在，我使用了另一个帐户(我们称之为 [email protected] )，并为其授予了上述资源组和贡献者的读者权限VM 及其网络安全组。

登录门户后，[email protected]无法访问 JIT，因为它拥有的订阅未启用安全中心标准 - 这些是与前面提到的订阅不同的单独订阅(因此无法通过门户请求 JIT)。

当我使用 PowerShell 时，我可以选择部署 VM 的订阅 (Select-AzureRmSubscription)，我可以看到那里使用了 JIT 策略 (Get- ASCJITAccessPolicy)，但是当我运行 Invoke-ASCJITAccess 时，出现错误:

Invoke-ASCJITAccess:JIT VM Access 需要标准层订阅。欲了解更多信息，请访问 aka.ms/asc-jit

我是否遗漏了某些内容，或者“即时​​访问”仅适用于您拥有的订阅？

Answer 1

设置用户 [email protected] 的贡献者角色资源组上的解决了该问题，并且该用户能够通过 PowerShell(而不是通过门户)请求 JIT 访问。