同僚が私の既存の Microsoft アカウント (既に彼のサブスクリプションの所有者および共同管理者である) をフル メンバー (ゲスト ユーザーではない) および彼の Azure ディレクトリのグローバル管理者として追加し、私が彼のサブスクリプションに Automation アカウントを作成できるようにするにはどうすればよいでしょうか?
私は同僚の Azure リソースを管理しています。私は共同管理者および所有者のロールとして彼のアカウントに招待されており、サブスクリプションのアクセス制御 (IAM) では、私のタイプは所有者、ロールは所有者、共同管理者として表示されています。
しかし、同僚のサブスクリプションで VM を起動/停止するための Automation アカウントを作成しようとすると、次の警告が表示されます。
Azure Active Directory で実行アカウントを作成する権限がありません。実行アカウントの作成方法については、ドキュメントの指示に従ってください。Run As アカウントの詳細については、ここをクリックしてください。
記事には次のように書かれています。
サブスクリプションのグローバル管理者/共同管理者ロールに追加される前に、サブスクリプションの Active Directory インスタンスのメンバーではない場合は、ゲストとして Active Directory に追加されます。このシナリオでは、[Automation アカウントの追加] ページに「作成する権限がありません」というメッセージが表示されます。ユーザーが最初にグローバル管理者/共同管理者ロールに追加された場合、サブスクリプションの Active Directory インスタンスからそのユーザーを削除し、その後 Active Directory の完全なユーザー ロールに再度追加することができます。
実際、同僚の Active Directory では、私はユーザー タイプ: ゲストとして表示されています。そこで、説明どおりに実行しようとしました。つまり、Active Directory からユーザー アカウントを削除し、新しいユーザーを追加しようとしましたが、残念ながら、既存の Microsoft アカウント名 (同僚のサブスクリプションの所有者および共同管理者として登録されているものと同じ) は受け入れられず、「gmail.com はこのディレクトリで検証されたドメインではありません」と表示されます。
そこで、別のボタン (新しいゲスト ユーザー) を試しました。その後、ディレクトリ ロールで「グローバル管理者」ロールが割り当てられました。Azure は私のメールを受け入れましたが、既存の Microsoft アカウントを関連付けることができず、代わりに新しい招待状が届き、同じメール アドレスの新しい Work アカウントを取得しました。そして、それを使用してログインすると、同僚のリソースにアクセスできるにもかかわらず、サブスクリプションはまったく表示されません。また、私の古い Microsoft アカウントは同僚の Active Directory にアクセスできません (そこから削除され、同じメール アドレスの新しい Work アカウントが作成されたため、予想どおりです)。
答え1
何度も試行錯誤し、耳を傾けてみた結果、原因は次のものだと分かりました。 https://cloudblogs.microsoft.com/enterprisemobility/2016/09/15/cleaning-up-the-azure-ad-and-microsoft-account-overlap/
したがって、現在、Microsoft アカウントを Azure ディレクトリにフル メンバーとして (ゲストとしてのみ) 追加することはできず、ドメイン で追加し@targetazuredomain.onmicrosoft.com、Azure でユーザーのパスワードをリセットし、一時パスワードをユーザーに送信する必要があります。これで、ユーザーはこの新しいドメイン名 で Azure Portal にログインできるようになります[email protected]。パスワード変更ダイアログが表示され、ユーザーはパスワードを変更する必要があります。最終的に、リソースにアクセスできるようになり、RunAs アカウントを使用して新しい Automation アカウントを作成できるようになります。
このユーザー サブスクリプションに所有者のアクセス許可を付与するには、管理者は、[email protected]所有者ロールを持つユーザーをもう一度アクセス制御 (IAM) リストに追加する必要があります。そのため、IAM リストに 2 つのアカウント (Microsoft アカウント用とローカル AD アカウント用) が存在することになりますが、Microsoft アカウントのアカウントは、サブスクリプションの Azure ドメインにアクセスできないため、もはや役に立ちません。
本質的に、これは Azure の Microsoft アカウント SSO が機能しなくなったことを意味します。複数の Azure サブスクリプションにログオンして、完全な権限を得ることはできません。所有していないサブスクリプションごとに、「正規のドメイン」アカウントに切り替える必要があります。