azure - Microsoft Cloud Adoption Framework with Terraform - 正确的 RBAC 设置

Question

我们正在尝试使用 Microsoft 提供的 CAF Terraform 模块来实现 CAF。我的问题是，代码开发人员应该拥有什么样的 RBAC 角色。现在，我有一个托管身份，当我运行 terraform 代码时，会创建管理组。我可以在地形状态下看到它们。但我在门户中看不到它们。当我尝试通过 az 访问它们时，要验证:

az account management-group list

我收到访问被拒绝错误:

(AuthorizationFailed) The client 'xapr@xxx' with object id 'xxx' does not have authorization to perform action 'Microsoft.Management/managementGroups/read' over scope '/providers/Microsoft.Management' or the scope is invalid. If access was recently granted, please refresh your credentials.

我已经是订阅所有者，我已经询问过我们的全局管理员，但他们也不知道。我们尝试在每次订阅之前将“管理组贡献者”角色添加到我的身份中。同样的错误。

所以问题是，devops 工程师应该担任什么角色/组分配，以验证是否创建了正确的资源？运行代码感觉很可怕，看不到结果!

Answer 1

错误“(AuthorizationFailed)对象 ID 为“xxx”的客户端“xapr@xxx”无权在范围“/providers/”上执行操作“Microsoft.Management/managementGroups/read” Microsoft.Management' 或范围无效。如果最近授予了访问权限，请刷新您的凭据。”如果用户没有足够的权限来执行操作，通常会发生这种情况。

当您在订阅级别而不是管理组级别分配管理组贡献者角色时，会出现此问题。

我在订阅级别为用户分配了管理组贡献者角色:

当我运行命令时，我收到相同的错误:

az account management-group list

因此，为了解决该错误，我分配了管理组贡献者角色，如下所示:

转至管理组 -> 选择组 -> 访问控制 (IAM) -> 添加角色分配 -> 管理组贡献者 -> 选择成员 -> 查看+分配

分配权限后，我能够显示管理组:

az account management-group list

要检查您已分配权限的范围，请运行以下命令:

Connect-AzAccount

Get-AzRoleAssignment -RoleDefinitionName "Management Group Contributor"

注意:列出管理组的范围必须是在管理处分配的/providers/Microsoft.Management/managementGroups/xxx团体级别。当您在订阅级别分配范围时，它显示为 /subscriptions/xxx。

引用文献:

What permissions are required to iterate Management Groups (in powershell) - Microsoft Q&A作者:索拉布·夏尔马

azure - error when running Get-AzManagementGroup PowerShell Command - Stack Overflow通过汉内尔