내 동료가 내 기존 Microsoft 계정(이미 구독의 소유자이자 공동 관리자임)을 정식 회원(게스트 사용자 아님) 및 Azure 디렉터리의 전역 관리자로 추가하여 내가 그의 구독에서 Automation 계정을 만들 수 있도록 하려면 어떻게 해야 합니까?
저는 동료의 Azure 리소스를 관리하고 있습니다. 나는 그의 계정에 공동 관리자 및 소유자 역할로 초대되었으며 실제로 구독의 액세스 제어(IAM)에서 내 유형은 소유자로, 역할은 소유자, 공동 관리자로 표시됩니다.
그러나 동료 구독에서 VM을 시작/중지하기 위해 Automation 계정을 만들려고 하면 다음 경고가 표시됩니다.
Azure Active Directory에서 실행 계정을 만들 수 있는 권한이 없습니다. 실행 계정을 만드는 방법을 알아보려면 설명서의 지침을 따르세요.실행 계정에 대해 자세히 알아보려면 여기를 클릭하세요.
기사에는 다음과 같은 내용이 나와 있습니다.
구독의 전역 관리자/공동 관리자 역할에 추가되기 전에 구독의 Active Directory 인스턴스 구성원이 아닌 경우 Active Directory에 게스트로 추가됩니다. 이 시나리오에서는 자동화 계정 추가 페이지에 "생성할 권한이 없습니다."라는 메시지가 표시됩니다. 사용자가 전역 관리자/공동 관리자 역할에 먼저 추가되면 구독의 Active Directory 인스턴스에서 해당 사용자를 제거할 수 있습니다. 그런 다음 Active Directory의 전체 사용자 역할에 다시 추가합니다.
실제로 동료의 Active Directory에는 사용자 유형: 게스트로 표시됩니다. 그래서 우리는 설명된 대로 수행하려고 했습니다. Active Directory에서 사용자 계정을 제거하고 새 사용자를 추가하려고 시도했지만 안타깝게도 기존 Microsoft 계정 이름(동료 구독의 소유자 및 공동 관리자로 등록된 이름과 동일) 허용되지 않습니다. "gmail.com은 이 디렉토리에서 확인된 도메인이 아닙니다"라고 표시됩니다.
그래서 우리는 다른 버튼인 새로운 게스트 사용자를 사용해 보았습니다. 그 후 디렉터리 역할에서 "글로벌 관리자" 역할이 할당되었습니다. Azure는 내 이메일을 수락했지만 기존 Microsoft 계정을 연결하지 못했고 대신 새 초대를 받고 동일한 이메일 주소에 대한 새 회사 계정을 얻었습니다. 그리고 그걸로 로그인하면 동료의 리소스에 액세스할 수 있지만 구독이 전혀 표시되지 않습니다. 그리고 내 이전 Microsoft 계정에는 동료의 Active Directory에 대한 액세스 권한이 없습니다(예상 - 해당 계정이 거기에서 제거되고 동일한 이메일을 사용하는 새 회사 계정이 생성되었기 때문입니다).
답변1
여러 번의 시행착오를 거쳐 정신을 차린 끝에 범인이 바로 이 사람이라는 것을 알게 되었습니다. https://cloudblogs.microsoft.com/enterprisemobility/2016/09/15/cleaning-up-the-azure-ad-and-microsoft-account-overlap/
따라서 이제 Microsoft 계정을 전체 구성원(게스트만)으로 Azure Directory에 추가할 수 없으며 도메인을 사용하여 추가한 @targetazuredomain.onmicrosoft.com다음 Azure에서 사용자 비밀번호를 재설정하고 임시 비밀번호를 사용자에게 보내고 이제 사용자에게 보내야 합니다. 이 새 도메인 이름을 사용하여 Azure Portal에 로그인해야 합니다 [email protected]. 비밀번호 변경 대화 상자가 표시되고 사용자는 비밀번호를 변경해야 하며 최종적으로 리소스에 액세스할 수 있게 되고 RunAs 계정으로 새 Automation 계정을 만들 수 있게 됩니다.
[email protected]이 사용자에게 구독 소유자 권한을 부여하려면 관리자는 소유자 역할이 있는 액세스 제어(IAM) 목록에 사용자를 한 번 더 추가해야 합니다 . 따라서 IAM 목록에 두 개의 계정(하나는 Microsoft 계정용이고 다른 하나는 로컬 AD 계정용)이 있을 수 있습니다. 하지만 Microsoft 계정이 있는 계정은 구독의 Azure 도메인에 액세스할 수 없기 때문에 더 이상 유용하지 않습니다.
본질적으로 이는 Azure용 Microsoft 계정 SSO가 중단되었음을 의미합니다. 여러 Azure 구독에 로그온할 수 없으며 거기에서 전체 권한을 가질 것으로 기대할 수 없습니다. 소유하지 않은 모든 구독에 대해 "정품 도메인" 계정으로 전환해야 합니다.