課金アカウントを管理するためにアクセス権を昇格させる

1. Azure portal にサインインします。
2. "コスト管理 + 請求" を検索します。
   
3. ページの左側にある [課金スコープ] を選びます。
4. [課金スコープ] ページで、すべての課金アカウントを表示するボックスをオンにします。
   

   注意

   課金スコープのページには、200 個のスコープのみが表示されます。 ただし、ページの検索ボックスを使って、一覧に含まれないアカウントを検索できます。

5. 一覧から Microsoft 顧客契約または Microsoft Partner Agreement の課金アカウントを選びます。 グローバル管理者は、課金アカウントへの読み取りアクセス権を持っています。 書き込み操作を実行できるように自分自身を昇格させるには、ステップ 6 から 8 を行います。
6. ページの左側にある [アクセス制御 (IAM)] を選びます
7. ページの上部にある [追加] を選びます。
   
8. [アクセス許可の追加] ウィンドウの [ロール] の一覧で、[請求先アカウントの所有者] を選びます。 [選択] 領域でユーザー名を選んでから、ウィンドウの下部にある [保存] を選びます。
   

Azure Billing API を使うと、プログラムで自分自身を昇格させて、ディレクトリ内のすべての課金アカウントを管理できます。

ディレクトリ内のすべての課金アカウントを検索する

GET https://management.azure.com/providers/Microsoft.Billing/billingAccounts?includeAllOrgs=true&api-version=2020-05-01

API の応答では、課金アカウントの一覧が返されます。

{
  "value": [
    {
            "id": "/providers/Microsoft.Billing/billingAccounts/6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx",
            "name": "6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx",
            "properties": {
                "accountStatus": "Active",
                "accountType": "Individual",
                "agreementType": "MicrosoftCustomerAgreement",
                "billingProfiles": {
                    "hasMoreResults": false
                },
                "displayName": "Connie Wilson",
                "hasReadAccess": true
            },
            "type": "Microsoft.Billing/billingAccounts"
        },
        {
            "id": "/providers/Microsoft.Billing/billingAccounts/5e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx",
            "name": "5e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx",
            "properties": {
                "accountStatus": "Active",
                "accountType": "Enterprise",
                "agreementType": "MicrosoftCustomerAgreement",
                "billingProfiles": {
                    "hasMoreResults": false
                },
                "displayName": "Contoso",
                "hasReadAccess": true
            },
            "type": "Microsoft.Billing/billingAccounts"
        },
        {
            "id": "/providers/Microsoft.Billing/billingAccounts/4e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx",
            "name": "4e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx",
            "properties": {
                "accountStatus": "Active",
                "accountType": "Individual",
                "agreementType": "MicrosoftCustomerAgreement",
                "billingProfiles": {
                    "hasMoreResults": false
                },
                "displayName": "Tomas Wilson",
                "hasReadAccess": true
            },
            "type": "Microsoft.Billing/billingAccounts"
        }
  ]
}

アクセス権を昇格させる課金アカウントを確認するには、課金アカウントの displayName プロパティを使います。 課金アカウントの name をコピーします。 たとえば、Connie Wilson の課金アカウントの所有者として自分自身を昇格させる場合は、6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx をコピーします。 次の手順で使用できるように、値をどこかに貼り付けておきます。

課金アカウントで使用できるロールの定義を取得する

次の要求を実行します。その際、<billingAccountName> を最初のステップでコピーした name (6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx) と置き換えます。

GET https://management.azure.com/providers/Microsoft.Billing/billingAccounts/<billingAccountName>/billingRoleDefinitions?api-version=2020-05-01

API の応答では、課金アカウントで使用できるロールの一覧が返されます。

{
    "value": [
        {
            "id": "/providers/Microsoft.Billing/billingAccounts/6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx/billingRoleDefinitions/50000000-aaaa-bbbb-cccc-100000000000",
            "name": "50000000-aaaa-bbbb-cccc-100000000000",
            "properties": {
                "description": "The Owner role gives the user all permissions including access management on a billing account.",
                "permissions": [
                    {
                        "actions": [
                            "50000000-aaaa-bbbb-cccc-200000000000",
                            "50000000-aaaa-bbbb-cccc-200000000001",
                            "50000000-aaaa-bbbb-cccc-200000000002",
                            "50000000-aaaa-bbbb-cccc-200000000003"
                        ]
                    }
                ],
                "roleName": "Billing account owner"
            },
            "type": "Microsoft.Billing/billingAccounts/billingRoleDefinitions"
        },
        {
            "id": "/providers/Microsoft.Billing/billingAccounts/6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx/billingRoleDefinitions/50000000-aaaa-bbbb-cccc-100000000001",
            "name": "50000000-aaaa-bbbb-cccc-100000000001",
            "properties": {
                "description": "The Contributor role gives the user all permissions except access management on a billing account.",
                "permissions": [
                    {
                        "actions": [
                            "50000000-aaaa-bbbb-cccc-200000000001",
                            "50000000-aaaa-bbbb-cccc-200000000002",
                            "50000000-aaaa-bbbb-cccc-200000000003",
                        ]
                    }
                ],
                "roleName": "Billing account contributor"
            },
            "type": "Microsoft.Billing/billingAccounts/billingRoleDefinitions"
        },
        {
            "id": "/providers/Microsoft.Billing/billingAccounts/6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx/billingRoleDefinitions/50000000-aaaa-bbbb-cccc-100000000002",
            "name": "50000000-aaaa-bbbb-cccc-100000000002",
            "properties": {
                "description": "The Reader role gives the user read permissions to a billing account.",
                "permissions": [
                    {
                        "actions": [
                            "50000000-aaaa-bbbb-cccc-200000000001",
                            "50000000-aaaa-bbbb-cccc-200000000006",
                            "50000000-aaaa-bbbb-cccc-200000000007",
                        ]
                    }
                ],
                "roleName": "Billing account reader"
            },
            "type": "Microsoft.Billing/billingAccounts/billingRoleDefinitions"
        }
    ]
}

roleName プロパティを使って、所有者ロールの定義を識別します。 ロールの定義の name をコピーします。 たとえば、上の API の応答から 50000000-aaaa-bbbb-cccc-100000000000 をコピーします。 次のステップで使用できるように、この値をどこかに貼り付けておきます。

自分自身を所有者として追加する

次の要求を実行します。その際、<billingAccountName> を最初のステップでコピーした name (6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx) と置き換えます。

PUT  https://management.azure.com/providers/Microsoft.Billing/billingAccounts/<billingAccountName>/createBillingRoleAssignment?api-version=2020-05-01

要求本文

自分自身を所有者として追加するには、自分のオブジェクト ID を取得する必要があります。 Azure portal の Microsoft Entra ID セクションの [ユーザー] ページでオブジェクト ID を確認するか、Microsoft Graph API を使ってオブジェクト ID を取得できます。

要求本文の <roleDefinitionName> を、ステップ 2 からコピーした name に置き換えます。 <principalId> は、Azure portal または Microsoft Graph API から取得したオブジェクト ID に置き換えます。

{
	    "principalId": "<principalId>",
	    "roleDefinitionId": "<roleDefinitionName>"
}