Docs: 新建Azure账号

Mon, 01 Jan 0001 00:00:00 +0000

操作步骤

在云账号页面单击列表上方"新建"按钮，进入新建云账号页面。
选择云平台为Azure，单击"下一步：配置云账号"按钮，进入配置云账号页面。
配置以下参数：
- 名称：Azure账号的名称。
- 账号类型：目前支持对接全球区、中国区、美国政务区、德国区的Azure云账号。
- 租户（Tenant）ID/客户端ID/客户端密码：请参考Azure相关参数获取方式。
- 通用参数：请参考通用配置参数。
单击"连接测试"按钮，测试输入的参数是否正确。
测试成功后，单击"下一步：配置同步资源区域"按钮，配置同步资源区域（默认同步所有区域）。
配置成功后，单击"下一步：账单文件访问信息（可选）“按钮，配置账单参数。
配置定时同步任务（可选），单击"确定"按钮，创建Azure账号。

开启免密登录：启用该项后，系统成为云上登录的身份提供商。实现通过本系统单点登录到公有云平台。目前仅Azure全球区支持免密登录的功能，需要账号类型选择全球区才可以显示此项。

Azure相关参数获取方式

获取Azure的租户（Tenant）ID和Client信息

登录Azure控制台，搜索并进入"Microsoft Entra ID”（原Azure Active Directory），单击左侧导航栏"应用注册"菜单项，进入应用注册页面。建议新建一个专门的应用程序供云管平台调用Azure API。

单击"新注册"按钮，在进入的注册应用程序页面，设置名称为任意值、设置受支持的账户类型为"仅单个租户 - Default Directory"，单击"注册"按钮。

创建成功后，系统自动显示刚创建的应用程序详情页面。该页面的应用程序（客户端）ID即为所需的客户端ID、目录（租户）ID即为所需的租户ID。

在应用程序详情页面单击"证书和密码"菜单项。进入证书和密码页面。单击"新客户端密码"按钮。

在弹出的添加客户端密码对话框中输入密码说明、选择截止日期（最长24个月），单击"添加"按钮新建客户端密码。

保存成功后，立即复制页面显示的密码值，该值即为需要的客户端密码信息。

注意：客户端密码的值仅在创建后显示一次，离开页面后将无法再次查看，请务必立即复制并妥善保存。密码过期后需要重新创建并更新云管平台上的Azure账号配置。

如何把订阅的权限授权给应用程序

登录Azure控制台，单击左侧导航栏"所有服务"菜单项，在所有服务列表中选择并单击"订阅"菜单项，进入订阅列表。

单击需要被授权的订阅，进入订阅的详情页面。

单击"访问控制(标识和访问管理)"，在进入的访问控制页面中单击"添加角色分配"按钮。

在"角色"选项卡中选择"所有者"，单击"下一步"按钮。在"成员"选项卡中，将访问权限分配给"用户、组或服务主体"，单击"选择成员"按钮，在搜索框中搜索上一步骤创建的应用程序的名称，并选中应用程序，单击"下一步"按钮，再单击"审阅和分配"按钮。

在角色分配页面，查看订阅的权限已授权给应用程序。

应用程序API权限设置

若不需要管理azure用户及用户组，可以不配置以下权限。

说明：Azure AD Graph API（graph.windows.net）已被弃用，请使用Microsoft Graph API替代。在应用程序的"API权限"页面中，添加Microsoft Graph的应用程序权限。

区域	API权限
Azure中国	Directory.Read.All, Directory.ReadWrite.All, Domain.Read.All
Azure国际区	Directory.Read.All, Directory.ReadWrite.All, Domain.Read.All, Domain.ReadWrite.All, Member.Read.Hidden, Policy.Read.All

权限配置

管理Azure云资源，需要云账号具备的权限：

权限备注	只读权限	读写权限
管理所有资源的权限	Reader	Owner
管理虚拟机资源的权限	-	Virtual Machine Contributor
管理网络资源的权限	-	Network Contributor
管理对象存储的权限	Storage Blob Data Reader	Storage Blob Data Owner
管理云数据库的权限	Cloud SQL Viewer	Cloud SQL Admin
管理Redis的权限	Redis Enterprise Cloud Viewer	Redis Enterprise Cloud Admin
管理文件存储的权限	Storage File Data SMB Share Reader	Storage File Data SMB Share Contributor
管理资源策略和角色的权限	-	Graph Owner, Resource Policy Contributor
管理DNS的权限	-	DNS Zone Contributor, Private DNS Zone Contributor
管理账单费用的权限	Billing Reader, Cost Management Reader	Cost Management Contributor
管理监控的权限	Monitoring Reader	Monitoring Contributor

账单配置

说明：Azure EA（Enterprise Agreement）报表API已全面退役，建议统一通过配置存储桶（成本管理导出）方式，或API账单同步账单。下方EA账号配置仅适用于仍支持该方式的场景，建议优先使用账单存储桶配置。

账单存储桶配置

云账号类型：包括主账号和关联账号
存储桶URL：账单文件所在存储桶的URL
文件前缀：Azure的文件前缀为账号ID
账单分析范围：包括本平台纳管账号和所有账号

API账单配置

该方式通过调用 Azure Cost Management 的 Generate Cost Details Report REST API 来获取账单数据，需要为应用程序（服务主体）在计费账户级别配置 成本管理读者 (Cost Management Reader) 或更高权限。

配置账单API权限

登录Azure控制台，搜索并进入 “成本管理 (Cost Management)” 页面。
在成本管理概览页面，找到并单击您的计费账户（Billing account）。
在计费账户详情页面，单击左侧菜单"访问控制 (IAM)"，进入计费账户的访问控制页面。
单击"添加“按钮, 角色选择"计费账户所有者”。

说明：也可选择 “计费账户读者”（Cost Management Reader）或 “计费账户参与者”（Cost Management Contributor）角色，但建议遵循最小权限原则使用 Cost Management Reader。
等待几分钟后，权限生效，即可使用API方式同步账单。

EA账号配置（已弃用）

注意：Azure EA报表API已全面退役，该方式仅作为历史参考，建议使用账单存储桶配置方式同步账单。

EA（Enterprise Agreement）账户支出通过合约编号和密钥获取账单信息：

合约编号：在线高级服务协议关联的唯一标识符，V570开头的数字
密钥：API访问密钥

如何获取Azure账单存储桶

登录Azure控制台，搜索"成本管理"，点击进入界面。

点击"导出"菜单，选择范围，注意范围要选择组（根目录需要管理员权限），这样可以将组内所有的订阅账单合并到同一个文件中。

范围选择相应组后，点击"创建"按钮，导出类型选择"本月至今每日导出成本"，其他信息按照提示填写即可。

创建成功后，可以手动触发下账单任务，确保账单存储桶中有账单文件。

找到上个步骤填写的存储账单，找到相应的账单存储桶URL。

点击容器，选择账单任务填写的容器，点击名称进入详情。

点击属性，即可查看相应的URL信息。

如何获取Azure合约编号和密钥（已弃用）

注意：Azure EA报表API已全面退役，以下内容仅作为历史参考。

登录Azure中国EA Portal或Azure EA Portal，登录系统后，左上角数字即为合约编号。

单击左侧导航栏"报表"菜单项，选择"下载使用量>API访问密钥"页签，该页面的主密钥即为密钥。

Cloudpods – Azure