單擊按鈕訪問客戶的azure資源管理器

Question

目前是否有可能在我的Azure AD租戶中創建應用程序，並允許客戶授權其更改其資源組。

我基本上想創建一個Web應用程序，它允許任何天青資源擁有者允許我的應用程序向他們選擇的資源組添加內容。

我無法弄清楚它是否需要客戶具有全局管理員角色才能發揮作用？

是否有可能創建一個流程，讓客戶登錄到我的Web應用程序，並授予此選擇的資源組的權限，而無需他成爲全局管理員。

是否有可能在Azure門戶中選擇他的資源組添加允許我的天藍色廣告應用程序訪問其資源組，或者需要從客戶那裏獲得這些信息嗎？

Answer 1

有兩種方法，使第三方應用程序可以訪問用戶的訂閱：

1. 委託權限（用戶模擬）：Azure的門戶網站就是一個很好的例子。基本上在這種情況下，用戶通過對自己的Azure AD進行身份驗證來登錄到您的應用程序，然後您的應用程序代表登錄用戶進行ARM API調用。如果用戶有權執行某項操作，那麼您的應用程序將執行此操作，否則您的用戶將會收到錯誤消息。
2. 應用程序許可：這基本上是更多的在當未登錄的用戶在後臺運行的東西從本質上講這是哪裏的Service Principal的概念來自於在這種情況下，一個人具有管理權限給予一定權限的。應用程序，然後您的應用程序將能夠做它允許做的事情。用戶不必在場景中。

現在來到你的問題：

我基本上要創建一個Web應用程序，允許任何蔚藍 資源所有者，讓我的應用程序中添加一些資源 組自己選擇的。

我無法弄清楚它是否需要客戶具有全球 管理員角色才能發揮作用？

是的，您可以創建這樣的Web應用程序，並且客戶不必是全局管理員就可以使用這樣的應用程序。實際上，這就是我們在Cloud Portam中提供Azure訂閱管理的方式。 Azure Portal以同樣的方式工作。當您登錄Azure門戶時，您只能執行您有權訪問的內容。要看到這一點，請使用處於Reader角色的用戶登錄到Azure門戶，並嘗試創建一些資源。

是否有可能使流，讓客戶登錄到我的 web應用程序，並給予許可的資源組此選擇， 沒有他作爲全局管理員。

是的，但是完全有可能，但Azure的角度許可將在訂閱級別，而不是在資源組級別。再次，因爲您將模擬用戶，用戶無需給予您明確的權限來訪問某些資源。 Azure RBAC將爲您處理此問題。

是否有可能在蔚藍門戶東西選擇他 資源組添加允許我的天藍色廣告的應用程序去他 資源組訪問，還是從客戶需要什麼，這是 可能嗎？

是的，可以這樣做。但是，在這種情況下，授予應用程序權限的用戶應該是允許其執行此操作的角色。他們應該有Microsoft.Authorization資源提供者的書面許可。但請記住，一旦您的應用程序（也稱爲Service Principal）被授予訪問您用戶訂閱中的資源的權限，則不需要用戶登錄。您通常會希望將此方法用於後臺進程類型的應用程序。