Reparar uma Conta de Gerenciamento Automatizado

Sua Conta de Gerenciamento Automatizado é o contexto de segurança ou identidade sob a qual as operações automatizadas ocorrem. Se você moveu recentemente uma assinatura que contém uma conta de Gerenciamento Automatizado para um novo locatário, será preciso reconfigurar a conta. Para reconfigurá-la, você precisa redefinir o tipo de identidade e atribuir as funções apropriadas para a conta.

Etapa 1: redefinir o tipo de identidade da Conta de Gerenciamento Automatizado

Redefina o tipo de identidade de Conta d Gerenciamento Automatizado usando o seguinte modelo do Azure Resource Manager (ARM). Salve o arquivo localmente como armdeploy.json ou nome semelhante. Anote o nome e o local da sua Conta de Gerenciamento Automatizado, pois são parâmetros obrigatórios no modelo do ARM.

1. Crie uma implantação do Resource Manager usando o modelo a seguir. Use identityType = None.

   • Você pode criar a implantação no CLI do Azure usando az deployment sub create. Para saber mais, consulte az deployment sub.
   • Você pode criar a implantação no PowerShell usando o New-AzDeployment módulo. Para obter mais informações, confira New-AzDeployment.

2. Execute o mesmo modelo do ARM novamente com identityType = SystemAssigned.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "accountName": {
            "type": "string"
        },
        "location": {
            "type": "string"
        },
        "identityType": {
            "type": "string",
            "allowedValues": [ "None", "SystemAssigned" ]
        }
    },
    "resources": [
        {
            "apiVersion": "2020-06-30-preview",
            "name": "[parameters('accountName')]",
            "location": "[parameters('location')]",
            "type": "Microsoft.Automanage/accounts",
            "identity": {
                "type": "[parameters('identityType')]"
            }
        }
    ]
}

Etapa 2: atribuir funções apropriadas para a Conta de Gerenciamento Automatizado do Azure

A Conta de Gerenciamento Automatizado requer as funções de Colaborador de Política de Recurso e Colaborador na assinatura que contém as VMs que o Gerenciamento Automatizado gerencia. Você pode atribuir essas funções usando o portal do Azure, os modelos do ARM ou o CLI do Azure.

Se você estiver usando um modelo do ARM ou o CLI do Azure, precisará da ID da entidade de segurança (também conhecida como a ID de objeto) da sua Conta de Gerenciamento Automatizado. (Você não precisará da ID se estiver usando o portal do Azure.) Você pode encontrar essa ID pelos métodos a seguir:

• CLI do Azure: use o comando az ad sp list --display-name <name of your Automanage Account>.

• Portal do Azure: acesse Microsoft Entra ID e pesquise sua Conta de Gerenciamento Automatizado pelo nome. Em Aplicativos Empresariais, selecione o nome da Conta de Gerenciamento Automatizado quando ele for exibido.

Portal do Azure

1. Em Assinaturas, acesse a assinatura que contém suas VMs gerenciadas automaticamente.

2. Selecione IAM (Controle de acesso) .

3. Selecione Adicionar>Adicionar atribuição de função para abrir a página Adicionar atribuição de função.

4. Atribua a função a seguir. Para ver as etapas detalhadas, confira Atribuir funções do Azure usando o portal do Azure.

   Configuração	Valor
   Função	Colaborador
   Atribuir acesso a	Usuário, grupo ou entidade de serviço
   Membros	<Nome de sua conta do Gerenciamento Automatizado>

   

5. Repita as etapas de 2 a 4, selecionando a função Colaborador de Política de Recurso.

Modelo de ARM

Execute o modelo do ARM a seguir. Você precisará da ID da entidade de segurança da sua Conta de Gerenciamento Automatizado. Você pode ver as etapas para encontrá-la no início desta seção. Forneça a ID quando solicitada.

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "principalId": {
            "type": "string",
            "metadata": {
                "description": "The principal to assign the role to"
            }
        }
    },
    "variables": {
        "Contributor": "[concat('/subscriptions/', subscription().subscriptionId, '/providers/Microsoft.Authorization/roleDefinitions/', 'b24988ac-6180-42a0-ab88-20f7382dd24c')]",
        "Resource Policy Contributor": "[concat('/subscriptions/', subscription().subscriptionId, '/providers/Microsoft.Authorization/roleDefinitions/', '36243c78-bf99-498c-9df9-86d9f8d28608')]"
    },
    "resources": [
        {
            "type": "Microsoft.Authorization/roleAssignments",
            "apiVersion": "2018-09-01-preview",
            "name": "[guid(uniqueString(variables('Contributor')))]",
            "properties": {
                "roleDefinitionId": "[variables('Contributor')]",
                "principalId": "[parameters('principalId')]"
            }
        },
        {
            "type": "Microsoft.Authorization/roleAssignments",
            "apiVersion": "2018-09-01-preview",
            "name": "[guid(uniqueString(variables('Resource Policy Contributor')))]",
            "properties": {
                "roleDefinitionId": "[variables('Resource Policy Contributor')]",
                "principalId": "[parameters('principalId')]"
            }
        }
    ]
}

CLI do Azure

Execute estes comandos:

az role assignment create --assignee-object-id <your Automanage Account Object ID> --role "Contributor" --scope /subscriptions/<your subscription ID>

az role assignment create --assignee-object-id <your Automanage Account Object ID> --role "Resource Policy Contributor" --scope /subscriptions/<your subscription ID>

Próximas etapas

Saiba mais sobre o Gerenciamento Automatizado do Azure