Configurare la multi-tenancy nell'hub di Azure Stack

Prerequisiti

Prima di registrare o annullare la registrazione di una directory guest, è necessario completare i passaggi amministrativi per i rispettivi tenant Microsoft Entra: la home directory dell'hub di Azure Stack (Contoso) e la directory guest (Adatum):

• Installare e configurare PowerShell per l'hub di Azure Stack.

• Scaricare gli strumenti dell'hub di Azure Stack e quindi importare i moduli Connect and Identity:

  Import-Module .\Identity\AzureStack.Identity.psm1
  

Registrare una directory guest

Per registrare una directory guest per la multi-tenancy, è necessario configurare sia la directory principale dell'hub di Azure Stack che la directory guest.

Configurare la directory dell'hub di Azure Stack

L'amministratore del servizio di contoso.onmicrosoft.com deve prima eseguire l'onboarding del tenant della directory guest di Adatum nell'hub di Azure Stack. Lo script seguente configura Azure Resource Manager per accettare gli accessi da utenti e entità servizio nel tenant adatum.onmicrosoft.com:

## The following Azure Resource Manager endpoint is for the ASDK. If you're in a multinode environment, contact your operator or service provider to get the endpoint, formatted as adminmanagement.<region>.<FQDN>.
$adminARMEndpoint = "https://adminmanagement.local.azurestack.external"

## Replace the value below with the Azure Stack Hub directory
$azureStackDirectoryTenant = "contoso.onmicrosoft.com"

## Replace the value below with the guest directory tenant. 
$guestDirectoryTenantToBeOnboarded = "adatum.onmicrosoft.com"

## Replace the value below with the name of the resource group in which the directory tenant registration resource should be created (resource group must already exist).
$ResourceGroupName = "system.local"

## Replace the value below with the region location of the resource group.
$location = "local"

# Subscription Name
$SubscriptionName = "Default Provider Subscription"

Register-AzSGuestDirectoryTenant -AdminResourceManagerEndpoint $adminARMEndpoint `
 -DirectoryTenantName $azureStackDirectoryTenant `
 -GuestDirectoryTenantName $guestDirectoryTenantToBeOnboarded `
 -Location $location `
 -ResourceGroupName $ResourceGroupName `
 -SubscriptionName $SubscriptionName

Configurare la directory guest

Successivamente, Mary (amministratore directory di Adatum) deve registrare l'hub di Azure Stack con la directory guest adatum.onmicrosoft.com eseguendo lo script seguente:

## The following Azure Resource Manager endpoint is for the ASDK. If you're in a multinode environment, contact your operator or service provider to get the endpoint, formatted as management.<region>.<FQDN>.
$tenantARMEndpoint = "https://management.local.azurestack.external"

## Replace the value below with the guest directory tenant.
$guestDirectoryTenantName = "adatum.onmicrosoft.com"

Register-AzSWithMyDirectoryTenant `
 -TenantResourceManagerEndpoint $tenantARMEndpoint `
 -DirectoryTenantName $guestDirectoryTenantName `
 -Verbose

Indirizzare gli utenti all'accesso

Infine, Mary può indirizzare gli utenti di Adatum con @adatum.onmicrosoft.com account ad accedere visitando il portale utenti dell'hub di Azure Stack. Per i sistemi multinodo, l'URL del portale utenti è formattato come https://portal.<region>.<FQDN>. Per una distribuzione ASDK, l'URL è https://portal.local.azurestack.external.

Mary deve anche indirizzare qualsiasi entità esterna (utenti nella directory Adatum senza il suffisso di adatum.onmicrosoft.com) per accedere usando https://<user-portal-url>/adatum.onmicrosoft.com. Se non specificano il /adatum.onmicrosoft.com tenant della directory nell'URL, vengono inviati alla directory predefinita e ricevono un errore che indica che l'amministratore non ha acconsentito.

Annullare la registrazione di una directory guest

Se non si vogliono più consentire gli accessi ai servizi dell'hub di Azure Stack da un tenant della directory guest, è possibile annullare la registrazione della directory. Anche in questo caso, è necessario configurare sia la directory principale dell'hub di Azure Stack che la directory guest:

1. Come amministratore della directory guest (Mary in questo scenario), eseguire Unregister-AzsWithMyDirectoryTenant. Il cmdlet disinstalla tutte le app dell'hub di Azure Stack dalla nuova directory.

   ## The following Azure Resource Manager endpoint is for the ASDK. If you're in a multinode environment, contact your operator or service provider to get the endpoint, formatted as management.<region>.<FQDN>.
   $tenantARMEndpoint = "https://management.local.azurestack.external"
   
   ## Replace the value below with the guest directory tenant.
   $guestDirectoryTenantName = "adatum.onmicrosoft.com"
   
   Unregister-AzsWithMyDirectoryTenant `
    -TenantResourceManagerEndpoint $tenantARMEndpoint `
    -DirectoryTenantName $guestDirectoryTenantName `
    -Verbose 
   

2. Come amministratore del servizio dell'hub di Azure Stack (in questo scenario), eseguire il Unregister-AzSGuestDirectoryTenant cmdlet :

   ## The following Azure Resource Manager endpoint is for the ASDK. If you're in a multinode environment, contact your operator or service provider to get the endpoint, formatted as adminmanagement.<region>.<FQDN>.
   $adminARMEndpoint = "https://adminmanagement.local.azurestack.external"
   
   ## Replace the value below with the Azure Stack Hub directory
   $azureStackDirectoryTenant = "contoso.onmicrosoft.com"
   
   ## Replace the value below with the guest directory tenant. 
   $guestDirectoryTenantToBeDecommissioned = "adatum.onmicrosoft.com"
   
   ## Replace the value below with the name of the resource group in which the directory tenant resource was created (resource group must already exist).
   $ResourceGroupName = "system.local"
   
   Unregister-AzSGuestDirectoryTenant -AdminResourceManagerEndpoint $adminARMEndpoint `
    -DirectoryTenantName $azureStackDirectoryTenant `
    -GuestDirectoryTenantName $guestDirectoryTenantToBeDecommissioned `
    -ResourceGroupName $ResourceGroupName
   

   Avviso

   I passaggi per disabilitare la multi-tenancy devono essere eseguiti in ordine. Il passaggio 1 ha esito negativo se il passaggio 2 è stato completato per primo.

Recuperare il report sull'integrità dell'identità dell'hub di Azure Stack

Sostituire i <region>segnaposto , <domain>e <homeDirectoryTenant> , quindi eseguire il cmdlet seguente come amministratore dell'hub di Azure Stack.

$AdminResourceManagerEndpoint = "https://adminmanagement.<region>.<domain>"
$DirectoryName = "<homeDirectoryTenant>.onmicrosoft.com"
$healthReport = Get-AzsHealthReport -AdminResourceManagerEndpoint $AdminResourceManagerEndpoint -DirectoryTenantName $DirectoryName
Write-Host "Healthy directories: "
$healthReport.directoryTenants | Where status -EQ 'Healthy' | Select -Property tenantName,tenantId,status | ft


Write-Host "Unhealthy directories: "
$healthReport.directoryTenants | Where status -NE 'Healthy' | Select -Property tenantName,tenantId,status | ft

Aggiornare le autorizzazioni del tenant Microsoft Entra

Questa azione cancella un avviso nell'hub di Azure Stack, a indicare che una directory richiede un aggiornamento. Eseguire il comando seguente dalla cartella Azurestack-tools-master/identity:

Import-Module ..\Identity\AzureStack.Identity.psm1

$adminResourceManagerEndpoint = "https://adminmanagement.<region>.<domain>"

# This is the primary tenant Azure Stack Hub is registered to:
$homeDirectoryTenantName = "<homeDirectoryTenant>.onmicrosoft.com"

Update-AzsHomeDirectoryTenant -AdminResourceManagerEndpoint $adminResourceManagerEndpoint `
   -DirectoryTenantName $homeDirectoryTenantName -Verbose

Lo script richiede le credenziali amministrative nel tenant Microsoft Entra e richiede alcuni minuti per l'esecuzione. L'avviso viene cancellato dopo l'esecuzione del cmdlet.