Asistencia de roles de Azure PowerShell usando cloudshell y devops pipline
Estoy tratando de eliminar la asignación para una identificación de objeto en particular. A continuación se muestra el error que obtengo. Adjunto mi nivel de acceso principal de servicio en AD.
Cuando intento ejecutar el mismo comando usando devops pipline, obtengo un error diferente.
Para eliminar el acceso, ¿cuál es el permiso que se requiere para mi servicio prinicpal en la sección de permisos de API? y por qué obtengo el error clould.execption. Algún consejo.
2 answers
Puedo reproducir su problema, el comando Remove-AzRoleAssignmentllamará a Azure AD Graph para validar el $objectidque pasó, por lo que debe otorgar el permiso Directory.Read.All de aplicación de Azure AD Graph ( no Microsoft Graph, no el permiso delegado ).
Después de agregar el permiso, hay un retraso (30 m - 1 h), luego prueba el comando, funciona. (Pruebo en local, lo mismo en cloud shell)
Nota : Excepto el permiso en Azure AD, su entidad de servicio también debe tener el permiso en el ámbito de la suscripción / recurso específico, por ejemplo, la entidad de servicio es el Owner/User Access Adminrol en el ámbito Access control (IAM)de la suscripción / recurso específico (en su caso, la cuenta de almacenamiento ). Si la entidad de servicio no tiene el rol, agréguelo como se muestra a continuación.
En Azure Devops, no es necesario iniciar sesión con Connect-AzAccount(en realidad, en el shell de nube, tampoco es necesario iniciar sesión, pero si desea hacerlo, también está bien), iniciará sesión automáticamente con la entidad de servicio relacionada con la conexión de servicio ( Task version >= 4.*).
Por lo tanto, asegúrese de que el secreto de su principal de servicio sea correcto y de que se haya verificado la conexión. Para ejecutar Remove-AzRoleAssignment, también agregue el permiso anterior para el registro de la aplicación relacionado con la conexión del servicio.
Entonces pruébalo, funciona.
Joy Wang tiene razón, pero me gustaría agregar que no debe dar un propietario principal de servicio a toda la suscripción si no es absolutamente necesario. es una consideración de seguridad. La mejor manera sería crear un rol personalizado en la suscripción con solo los permisos que necesita. en este caso, algunos de los permisos que necesitará para que funcione en el rol personalizado son:
"Microsoft.Management/managementGroups/read"
"Microsoft.Authorization/roleAssignments/*"
"Microsoft.Authorization/roleDefinitions/*"
Además, intenté ejecutar get-azroleassignment sin directory.read.all con una entidad de servicio, y funciona siempre que tenga los permisos de rol asignados en la suscripción. eso me lleva a creer que powershell get-add-remove-azroleassignment no usa los permisos de la API de gráficos en absoluto.
Actualización Como dijo Joy, es posible que el rol personalizado sea inútil, ya que técnicamente podría darse a sí mismo la propiedad, sin embargo, aquí hay una prueba de que no necesita permisos de API para que el principal del servicio haga esto:
Update2: prueba de que eliminar la regla de suscripción y solo tener permisos de API no funciona, solo puede obtener las asignaciones de roles para sí mismo, (el principal del servicio en sí) nada más. 
Related questions
MORE COOL STUFF
Jana Duggar: Todo lo que ha dicho sobre el amor y su ventana de 5 años para encontrar al 'Elegido'
Jana Duggar ha sido abierta sobre su búsqueda del amor. Aquí está todo lo que ha dicho sobre el tema y su ventana de cinco años para el matrimonio.
Sam Heughan sabe exactamente lo que tomará del set de 'Outlander': 'Me siento como si fuera Jamie cuando me los pongo'
La estrella de 'Outlander', Sam Heughan, reveló recientemente qué se llevará del set para recordar a Jamie Fraser, el papel que lo convirtió en una estrella.
La primera canción de los Beatles que fue una de las 'actuaciones más emocionantes' de la banda, según Fab Four Insider
'She Loves You' fue escrita en una hora, grabada en un día y fue la canción de The Beatles con una de las mejores interpretaciones de su carrera.
Dolly Parton ayudó a su abuela 'inválida' cuando ninguno de los otros nietos lo haría: también le hacía una broma
Dolly Parton y su abuela Bessie tenían una relación especial. La abuela Parton estaba muy enferma, pero eso no impidió que Dolly le hiciera una broma.
Las 10 especies de monos más "feas": Belleza poco convencional en los primates
Algunos monos tienen mucha suerte con la genética. ¿Otros? No tanto. El mono más feo no es una sola especie, sino toda una galería de primates que te hacen mirar dos veces y preguntarte si la evolución te estaba jugando una broma.
¿Cuál es la madera más dura del mundo?
Puede que pienses que el roble o el nogal americano son maderas resistentes, pero cuando se trata de las maderas más duras del mundo, ni siquiera se acercan.
10 de las criaturas marinas más aterradoras que acechan en las profundidades del océano
El océano rebosa belleza, pero también esconde algunas de las criaturas marinas más aterradoras del planeta. Muchos de estos animales acechan en las profundidades oceánicas, en el oscuro y opresivo mundo de alta presión del océano.
Los 10 mejores encantamientos de espada en Minecraft
Si te enfrentas a monstruos hostiles o te preparas para combates PvP, conocer los mejores encantamientos para espadas en Minecraft puede darte una gran ventaja. Encantar espadas te permite infligir más daño, aumentar los objetos que sueltan los monstruos y prolongar la durabilidad de tu espada.
Resumen del oso: ¿Es Marcus el hombre más amable, suave y sincero de Chicago?
“Children” lanza un cameo de renombre y algunas noticias devastadoras
Por $ 9,800, ¿los 'empacarías' en este Toyota RAV4 2008 de siete plazas?
Se dice que este RAV4 está en excelentes condiciones y preparado para un juego de sillas musicales.
Furgoneta de reparto de Amazon se enciende en una ardiente explosión durante el calor del verano en Houston
Imágenes de drones capturaron a los bomberos que parecían tener dificultades para apagar el incendio.
Black Panther Show de Marvel será el programa animado más crucial hasta el momento
Eyes of Wakanda se vincula directamente con la MCU, además de actualizaciones sobre X-Men '97, What If..., Daredevil y más.
Todo sobre el impresionante anillo de compromiso de zafiro de Kate Middleton (¡y la reliquia real en la que se inspiró!)
El anillo de compromiso de Kate Middleton perteneció a la princesa Diana antes de que el príncipe William le propusiera matrimonio con él. Descubra todo lo que hay que saber sobre esta pieza histórica aquí.
¿Quién es la esposa de John Cleese? Todo sobre Jennifer Wade
John Cleese se casó con su esposa, Jennifer Wade, en 2012. Aquí encontrará todo lo que debe saber sobre la esposa de John Cleese, Jennifer Wade.
¿Quién es la esposa de Patton Oswalt? Todo sobre Meredith Salenger
Patton Oswalt se casó con su esposa, la también actriz Meredith Salenger, en 2017. Aquí encontrará todo lo que debe saber sobre la esposa de Patton Oswalt, Meredith Salenger.
¿Quién es la esposa de Jason Kennedy? Todo sobre Lauren Scruggs Kennedy
Aquí encontrará todo lo que debe saber sobre Lauren Scruggs Kennedy, la bloguera de moda y autora de best sellers del New York Times que espera su segundo hijo con la personalidad de televisión Jason Kennedy.
3 formas comprobadas de mejorar su habilidad de escritura
Los beneficios de escribir y estrategias para ayudarte a hacerlo
En 2022, con el lanzamiento de GPT-3, la habilidad de escritura parece perder importancia. Con IA, las personas con mala escritura también pueden generar personal de calidad.
La erosión lenta: revelando las formas en que las personas se desgastan en sus carreras
En el mundo acelerado y competitivo de hoy, la carrera de uno juega un papel importante en el crecimiento personal, la estabilidad financiera y la satisfacción general con la vida. Sin embargo, muchas personas se encuentran atrapadas en un ciclo implacable de estancamiento e insatisfacción, y su vida profesional se desvanece gradualmente.
¿Qué hace que un podcast sea influyente?
La semana pasada noté un comunicado de prensa, enviado a través de PressGazette (un sitio web de noticias de los medios británicos). El artículo anunciaba que Acast, la empresa de publicidad y alojamiento de podcasts de Scandi, lideraría un consorcio de editores "probablemente los más influyentes" en podcasting.