提升访问权限以管理所有 Azure 订阅和管理组

你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

Microsoft Entra ID 中的全局管理员不一定对目录中的所有订阅和管理组拥有访问权限。 本文介绍如何自我提升对所有订阅和管理组的访问权限。

注意

有关查看或删除个人数据的信息，请参阅 GDPR 的 Azure 数据使用者请求。 有关 GDPR 的详细信息，请参阅 Microsoft 信任中心的 GDPR 部分和服务信任门户的 GDPR 部分。

全局管理员有时可能需要执行以下操作：

Microsoft Entra ID 和 Azure 资源相互独立保护。 也就是说，Microsoft Entra 角色分配不授予对 Azure 资源的访问权限，Azure 角色分配不会授予对 Microsoft Entra ID 的访问权限。 但是，如果你是 Microsoft Entra ID 中的全局管理员istrator，则可以为自己分配对目录中所有 Azure 订阅和管理组的访问权限。 如果你无权访问 Azure 订阅资源（如虚拟机或存储帐户），并且想使用全局管理员特权来获取这些资源的访问权限，则请使用此功能。

提升访问权限时，将分配到 Azure 中根范围 (/) 的用户访问管理员角色。 此角色可查看所有资源，并且可用于分配目录中任何订阅或管理组中的访问权限。 可以使用 Azure PowerShell、Azure CLI 或 REST API 删除“用户访问管理员”角色分配。

完成需在根范围执行的更改后，应删除此提升的访问权限。

请按照这些步骤，使用 Azure 门户为全局管理员提升访问权限。

以全局管理员的身份登录到 Azure 门户。

如果使用 Microsoft Entra Privileged Identity Management，请激活全局管理员istrator 角色分配。

打开 Microsoft Entra ID。

在“管理”下，选择“属性” 。

在“Azure 资源的访问管理”下，将开关设置为“是”。

将开关设为“是”时，你将分配到 Azure RBAC 中根范围 (/) 的“用户访问管理员”角色。 这授予你分配与此 Microsoft Entra 目录关联的所有 Azure 订阅和管理组中的角色的权限。 此开关仅适用于在 Microsoft Entra ID 中分配全局管理员istrator 角色的用户。

将开关设为“否”时，会从用户帐户中删除 Azure RBAC 中的用户访问管理员角色。 不能再分配与此 Microsoft Entra 目录关联的所有 Azure 订阅和管理组中的角色。 只能查看和管理已获取访问权限的 Azure 订阅和管理组。

注意

如果正在使用 Privileged Identity Management，则停用角色分配不会将“Azure 资源的访问管理”更改为“否”。 为了保持最小特权访问，我们建议你在停用角色分配之前，将此开关设置为“否”。

单击“保存”，保存设置。

此设置不是全局属性，仅适用于当前已登录的用户。 无法提升所有全局管理员角色成员的访问权限。

注销然后重新登录可以刷新访问权限。

现在，你应该有权访问目录中的所有订阅和管理组。 在查看“访问控制(IAM)”窗格时，你会注意到，系统为你分配了根范围的“用户访问管理员”角色。

以提升的访问权限做出所需的更改。

有关分配角色的信息，请参阅使用 Azure 门户分配 Azure 角色。 如果使用 Privileged Identity Management，请参阅发现要管理的 Azure 资源或分配 Azure 资源角色。

执行以下部分中的步骤以删除提升的访问权限。

若要删除根范围 (/) 的“用户访问管理员”角色分配，请遵循以下步骤。

以提升访问权限时使用的用户身份登录。

在导航列表中，单击 “Microsoft Entra ID ”，然后单击“ 属性”。

将“Azure 资源的访问管理”切换回“否”。 由于此设置特定于用户，因此，必须以提升访问权限时所用的同一用户登录。

如果尝试删除“访问控制(IAM)”窗格上的“用户访问管理员”角色分配，将看到以下消息。 若要删除角色分配，必须切换回“否”，或者使用 Azure PowerShell、Azure CLI 或 REST API。

以全局管理员身份注销。

如果使用 Privileged Identity Management，请停用全局管理员角色分配。

注意

如果正在使用 Privileged Identity Management，则停用角色分配不会将“Azure 资源的访问管理”更改为“否”。 为了保持最小特权访问，我们建议你在停用角色分配之前，将此开关设置为“否”。

注意

建议使用 Azure Az PowerShell 模块与 Azure 交互。 请参阅安装 Azure PowerShell 以开始使用。 若要了解如何迁移到 Az PowerShell 模块，请参阅 将 Azure PowerShell 从 AzureRM 迁移到 Az。

若要列出用户在根范围 (/) 内的“用户访问管理员”角色分配，请使用 Get-AzRoleAssignment 命令。

若要删除自己或其他用户在根范围 (/) 的“用户访问管理员”角色分配，请遵循以下步骤。

以能够删除提升访问权限的用户身份登录。 此用户可以是提升访问权限时所用的同一用户，也可以是在根范围拥有提升访问权限的另一个“全局管理员”。

使用 Remove-AzRoleAssignment 命令删除用户访问管理员角色分配。

使用以下基本步骤，通过 Azure CLI 为全局管理员提升访问权限。

使用 az rest 命令调用 elevateAccess 终结点，这将授予你根范围 (/) 内的“用户访问管理员”角色。

以提升的访问权限做出所需的更改。

有关分配角色的信息，请参阅使用 Azure CLI 分配 Azure 角色。

执行后续部分中的步骤以删除提升的访问权限。

若要列出用户在根范围 (/) 内的“用户访问管理员”角色分配，请使用 az role assignment list 命令。

若要删除自己或其他用户在根范围 (/) 的“用户访问管理员”角色分配，请遵循以下步骤。

以能够删除提升访问权限的用户身份登录。 此用户可以是提升访问权限时所用的同一用户，也可以是在根范围拥有提升访问权限的另一个“全局管理员”。

使用 az role assignment delete 命令删除“用户访问管理员”角色分配。

必须使用以下版本：

有关详细信息，请参阅 Azure RBAC REST API 的 API 版本。

使用以下基本步骤，通过 REST API 为全局管理员提升访问权限。

使用 REST 调用 elevateAccess，这将授予你根范围 (/) 内的“用户访问管理员”角色。

以提升的访问权限做出所需的更改。

有关分配角色的信息，请参阅使用 REST API 分配 Azure 角色。

执行后续部分中的步骤以删除提升的访问权限。

可以列出用户在根范围 (/) 的所有角色分配。

调用角色分配 - 列出范围，其中 {objectIdOfUser} 是要检索其角色分配的用户的对象 ID。

可以列出用户在根范围 (/) 的所有拒绝分配。

调用 GET denyAssignments，其中 {objectIdOfUser} 是要检索其拒绝分配的用户的对象 ID。

调用 elevateAccess 即为自己创建角色分配，因此若要撤销这些特权，需要删除自己在根范围 (/) 内的“用户访问管理员”角色分配。

调用角色分配 - 获取，其中 roleName = 用户访问管理员，由此确定用户访问管理员角色的名称 ID。

保存 name 参数中的 ID，在本例中为 18d7d88d-d35e-4fb5-a5c3-7773c20a72d9。

还需要列出目录管理员在目录范围的角色分配。 对于执行了提升访问权限调用的目录管理员，列出其 principalId 在目录范围内的所有分配。 这将为 objectid 列出目录中的所有分配。

注意

目录管理员不应拥有多个分配，如果前面的查询返回过多分配，你也可以只在目录范围级别查询所有分配，然后筛选结果：GET https://management.azure.com/providers/Microsoft.Authorization/roleAssignments?api-version=2022-04-01&$filter=atScope()

上述调用将返回角色分配列表。 在范围 "/" 查找以下角色分配：roleDefinitionId 以第 1 步中的角色名称 ID 结尾，并且 principalId 与目录管理员的 objectId 一致。

示例角色分配：

同样，请保存 name 参数中的 ID，在本例中为 11111111-1111-1111-1111-111111111111。

最后，使用角色分配 ID 删除 elevateAccess 添加的分配：

当访问权限提升时，会将一个条目添加到日志中。 作为 Microsoft Entra ID 中的 Global 管理员istrator，你可能希望在提升访问权限和执行权限的人员时检查。 提升访问权限日志条目不会显示在标准活动日志中，而是显示在目录活动日志中。 本部分介绍查看提升访问权限日志条目的不同方式。

以全局管理员的身份登录到 Azure 门户。

打开“监视”>“活动日志”。

将“活动”列表更改为“目录活动”。

搜索以下表示提升访问权限动作的操作。

Assigns the caller to User Access Administrator role

使用 az login 命令以全局管理员身份登录。

使用 az rest 命令进行以下调用，你将必须按示例时间戳所示的日期进行筛选，并指定用于存储日志的文件名。

url 调用 API 来检索 Microsoft.Insights 中的日志。 输出将保存到你指定的文件中。

在输出文件中，搜索 elevateAccess。

日志将类似于以下内容，可以在其中查看操作发生时间的时间戳和调用者。

如果你希望能够定期获取提升访问权限日志条目，可以向组委托访问权限，然后使用 Azure CLI。

打开 Microsoft Entra ID>组。

创建新的安全组，并记下组对象 ID。

使用 az login 命令以全局管理员身份登录。

使用 az role assign create 命令将读者角色分配给只能在目录级别读取日志的组，这些日志位于 Microsoft/Insights。

将读取日志的用户添加到之前创建的组中。

该组中的用户现在可以定期运行 az rest 命令来查看提升访问权限日志条目。