Transferir uma assinatura do Azure para um diretório do Microsoft Entra diferente

As organizações podem ter várias assinaturas do Azure. Cada assinatura é associada a um diretório específico do Microsoft Entra. Para facilitar o gerenciamento, convém transferir uma assinatura para um diretório diferente do Microsoft Entra. Quando você transfere uma assinatura para um diretório diferente do Microsoft Entra, alguns recursos não são transferidos para o diretório de destino. Por exemplo, todas as atribuições de função e funções personalizadas no RBAC (controle de acesso baseado em função) do Azure são excluídas permanentemente do diretório de origem e não são transferidas para o diretório de destino.

Este artigo descreve as etapas básicas que você pode seguir para transferir uma assinatura para um diretório diferente do Microsoft Entra e recriar alguns dos recursos após a transferência.

Se você quiser bloquear a transferência de assinaturas para diretórios diferentes em sua organização, poderá configurar uma política de assinatura. Para saber mais, confira Gerenciar políticas de assinatura do Azure.

Visão geral

A transferência de uma assinatura do Azure para um diretório diferente do Microsoft Entra é um processo complexo que deve ser cuidadosamente planejado e executado. Muitos serviços do Azure exigem entidades de segurança (identidades) para operar normalmente ou até mesmo gerenciar outros recursos do Azure. Este artigo tenta abranger a maioria dos serviços do Azure que dependem muito das entidades de segurança, mas não é abrangente.

O diagrama a seguir mostra as etapas básicas que você deve seguir ao transferir uma assinatura para um diretório diferente.

1. Preparar para a transferência

2. Transferir a assinatura do Azure para um diretório diferente

3. Recriar recursos no diretório de destino, como atribuições de função, funções personalizadas e identidades gerenciadas

   

Como decidir se uma assinatura deve ser transferida para um diretório diferente

Veja abaixo algumas razões pelas quais você pode querer transferir uma assinatura:

• Devido a uma fusão ou aquisição da empresa, você quer gerenciar uma assinatura adquirida em seu diretório primário do Microsoft Entra.
• Alguém em sua organização criou uma assinatura e você deseja consolidar o gerenciamento para um determinado diretório do Microsoft Entra.
• Você tem aplicativos que dependem de uma ID de assinatura ou URL específica e não é fácil modificar a configuração ou o código do aplicativo.
• Uma parte de seus negócios foi dividida em uma empresa separada e você precisa mover alguns dos seus recursos para outro diretório do Microsoft Entra.
• Você quer gerenciar alguns de seus recursos em um diretório diferente do Microsoft Entra para fins de isolamento de segurança.

Abordagens alternativas

A transferência de uma assinatura requer tempo de inatividade para concluir o processo. Dependendo do seu cenário, você pode considerar as seguintes abordagens alternativas:

• Recriar os recursos e copiar os dados para o diretório de destino e a assinatura de destino.
• Adotar uma arquitetura de vários diretórios e deixar a assinatura no diretório de origem. Usar o Azure Lighthouse para delegar recursos para que os usuários no diretório de destino possam acessar a assinatura no diretório de origem. Para obter mais informações, confira Azure Lighthouse em cenários empresariais.

Entender o impacto da transferência de uma assinatura

Vários recursos do Azure dependem de uma assinatura ou de um diretório. Conforme a sua situação, a tabela a seguir lista o impacto conhecido da transferência de uma assinatura. Ao executar as etapas neste artigo, você pode recriar alguns dos recursos que existiam antes da transferência da assinatura.

Para obter uma lista de alguns dos recursos do Azure que são afetados quando você transfere uma assinatura, você também pode executar uma consulta no Azure Resource Graph. Para obter uma consulta de amostra, confira Listar recursos afetados durante a transferência de uma assinatura do Azure.

Pré-requisitos

Para concluir essas etapas, você precisa:

• Bash no Azure Cloud Shell ou CLI do Azure
• Proprietário da conta de cobrança da assinatura que você deseja transferir no diretório de origem
• Uma conta de usuário no diretório de origem e de destino para o usuário que faz a alteração de diretório

Etapa 1: preparar-se para a transferência

Entrar no diretório de origem

1. Entre no Azure AD como administrador.

2. Obtenha a lista de assinaturas usando o comando az account list.

   az account list --output table
   

3. Use az account set para definir a assinatura ativa que você deseja transferir.

   az account set --subscription "Marketing"
   

Instalar a extensão do Azure Resource Graph

A extensão da CLI do Azure para o Azure Resource Graph, o grafo de recursos, permite que você use o comando az graph para consultar recursos gerenciados pelo Azure Resource Manager. Você usará esse token em etapas posteriores.

1. Use az extension list para ver se você tem a extensão resource-graph instalada.

   az extension list
   

2. Se você estiver usando uma versão prévia ou uma versão mais antiga da extensão resource-graph, use az extension update para atualizar a extensão.

   az extension update --name resource-graph
   

3. Se a extensão resource-graph não estiver instalada, use az extension add para instalar a extensão.

   az extension add --name resource-graph
   

Salve todas as atribuições de função

1. Use az role assignment list para listar todas as atribuições de função (incluindo atribuições de função herdadas).

   Para facilitar a revisão da lista, você pode exportar a saída como JSON, TSV ou uma tabela. Para obter mais informações, confira Listar atribuições de função usando a RBAC do Azure e a CLI do Azure.

   az role assignment list --all --include-inherited --output json > roleassignments.json
   az role assignment list --all --include-inherited --output tsv > roleassignments.tsv
   az role assignment list --all --include-inherited --output table > roleassignments.txt
   

2. Salve a lista de atribuições de função.

   Quando você transfere uma assinatura, todas as atribuições de função são excluídas permanentemente, portanto, é importante salvar uma cópia.

3. Examine a lista de atribuições de função. Pode haver atribuições de função de que você não precisará no diretório de destino.

Salvar funções personalizadas

1. Use a az role definition list para listar suas funções personalizadas. Para obter mais informações, confira Criar ou atualizar funções personalizadas do Azure usando a CLI do Azure.

   az role definition list --custom-role-only true --output json --query '[].{roleName:roleName, roleType:roleType}'
   

2. Salve cada função personalizada que será necessária no diretório de destino como um arquivo JSON separado.

   az role definition list --name <custom_role_name> > customrolename.json
   

3. Faça cópias dos arquivos de função personalizados.

4. Modifique cada cópia para usar o formato a seguir.

   Você usará esses arquivos posteriormente para recriar as funções personalizadas no diretório de destino.

   {
     "Name": "",
     "Description": "",
     "Actions": [],
     "NotActions": [],
     "DataActions": [],
     "NotDataActions": [],
     "AssignableScopes": []
   }
   

Determinar mapeamentos de entidade de serviço, usuário e grupo

1. Com base na sua lista de atribuições de função, determine os usuários, os grupos e as entidades de serviço que serão mapeados no diretório de destino.

   Você pode identificar o tipo de entidade de segurança examinando a propriedade principalType em cada atribuição de função.

2. Se necessário, no diretório de destino, crie todos os usuários, grupos ou entidades de serviço necessários.

Listar atribuições de função para identidades gerenciadas

Identidades gerenciadas não são atualizadas quando uma assinatura é transferida para outro diretório. Como resultado, todas as identidades gerenciadas atribuídas pelo sistema ou designadas pelo usuário serão quebradas. Após a transferência, você pode reabilitar todas as identidades gerenciadas atribuídas pelo sistema. Para identidades gerenciadas atribuídas pelo usuário, você precisará recriá-las e anexá-las no diretório de destino.

1. Examine a lista de serviços do Azure que dão suporte a identidades gerenciadas para observar em que locais você talvez esteja usando identidades gerenciadas.

2. Use az ad sp list para listar suas identidades gerenciadas atribuídas pelo sistema e pelo usuário.

   az ad sp list --all --filter "servicePrincipalType eq 'ManagedIdentity'"
   

3. Na lista de identidades gerenciadas, determine quais são atribuídas pelo sistema e que são atribuídas pelo usuário. Você pode usar os critérios a seguir para determinar o tipo.

   Critérios	Tipo de identidade gerenciada
   A propriedade alternativeNames inclui isExplicit=False	System-assigned
   A propriedade alternativeNames não inclui isExplicit	System-assigned
   A propriedade alternativeNames inclui isExplicit=True	Atribuída pelo usuário

   Você também pode usar az identity list para apenas listar identidades gerenciadas atribuídas pelo usuário. Para obter mais informações, confira Criar, listar ou excluir uma identidade gerenciada atribuída pelo usuário usando a CLI do Azure.

   az identity list
   

4. Obtenha uma lista dos valores objectId para suas identidades gerenciadas.

5. Pesquise sua lista de atribuições de função para ver se há atribuições de função para suas identidades gerenciadas.

Listar cofres de chave

Quando você cria um cofre de chaves em uma assinatura, ele é vinculado automaticamente à ID de locatário do Microsoft Entra padrão para essa assinatura. Todas as entradas de política de acesso também são vinculadas a essa ID de locatário. Para obter mais informações, confira Mover um Azure Key Vault para outra assinatura.

• Se você tiver um cofre de chaves, use az keyvault show para listar as políticas de acesso. Para obter mais informações, confira Atribuir uma política de acesso do Key Vault.

  az keyvault show --name MyKeyVault
  

Listar bancos de dados SQL do Azure com a autenticação do Microsoft Entra

• Use az sql server ad-admin list e a extensão az graph para ver se você está usando bancos de dados SQL do Azure com a integração de autenticação do Microsoft Entra. Para obter informações, consulte Configurar e gerenciar a autenticação do Microsoft Entra com o SQL.

  az sql server ad-admin list --ids $(az graph query -q "resources | where type == 'microsoft.sql/servers' | project id" --query data[*].[id] -o tsv)
  

Listar ACLs

1. Se você estiver usando Azure Data Lake Storage Gen2, liste as ACLs aplicadas a qualquer arquivo usando o portal do Azure ou o PowerShell.

2. Se você estiver usando Arquivos do Azure, liste as ACLs que são aplicadas a qualquer arquivo.

Listar outros recursos conhecidos

1. Use az account show para obter sua ID de assinatura (em bash).

   subscriptionId=$(az account show --output tsv --query id)
   

2. Use a extensão az graph para listar outros recursos do Azure com dependências de diretório do Microsoft Entra conhecidas (em bash).

   az graph query -q 'resources 
       | where type != "microsoft.azureactivedirectory/b2cdirectories" 
       | where  identity <> "" or properties.tenantId <> "" or properties.encryptionSettingsCollection.enabled == true 
       | project name, type, kind, identity, tenantId, properties.tenantId' --subscriptions $subscriptionId --output yaml
   

Etapa 2: transferir a assinatura

Nesta etapa, você transfere a assinatura do diretório de origem para o diretório de destino. As etapas serão diferentes dependendo se você deseja também transferir a propriedade da cobrança.

1. Determine se você também deseja transferir a propriedade da cobrança para outra conta.

2. Transfira de uma assinatura para outro diretório.

   • Se você quiser manter a propriedade da cobrança atual, siga as etapas em Associar ou adicionar uma assinatura do Azure ao locatário do Microsoft Entra.
   • Se você também quiser transferir a propriedade da cobrança, siga as etapas em Transferir a propriedade da cobrança de uma assinatura do Azure para outra conta. Para transferir a assinatura para um diretório diferente, é necessário marcar a caixa de seleção Locatário do Microsoft Entra da assinatura.

3. Depois de concluir a transferência da assinatura, volte para este artigo para recriar os recursos no diretório de destino.

Etapa 3: recriar os recursos

Entrar no diretório de destino

1. No diretório de destino, entre como o usuário que aceitou a solicitação de transferência.

   Somente o usuário da nova conta que aceitou a solicitação de transferência terá acesso para gerenciar os recursos.

2. Obtenha a lista de assinaturas usando o comando az account list.

   az account list --output table
   

3. Use o az account set para definir a assinatura ativa que você deseja usar.

   az account set --subscription "Contoso"
   

Criar funções personalizadas

• Use az role definition create para criar cada função personalizada com base nos arquivos que você criou anteriormente. Para obter mais informações, confira Criar ou atualizar funções personalizadas do Azure usando a CLI do Azure.

  az role definition create --role-definition <role_definition>
  

Atribuir funções

• Use az role assignment create para atribuir funções a usuários, grupos e entidades de serviço. Para obter mais informações, confira Atribuir funções do Azure usando a CLI do Azure.

  az role assignment create --role <role_name_or_id> --assignee <assignee> --scope "/subscriptions/<subscriptionId>/resourceGroups/<resource_group>"
  

Atualizar identidades gerenciadas atribuídas pelo sistema

1. Desabilitar e reabilitar identidades gerenciadas atribuídas pelo sistema.

   Serviço do Azure	Mais informações
   Máquinas virtuais	Configurar identidades gerenciadas para recursos do Azure em uma VM do Azure usando a CLI do Azure
   conjuntos de escala de máquina virtual	Configurar identidades gerenciadas para recursos do Azure em um conjunto de dimensionamento de máquinas virtuais usando a CLI do Azure
   Outros serviços	Serviços compatíveis com identidades gerenciadas para recursos do Azure

2. Use az role assignment create para atribuir funções a identidades gerenciadas atribuídas pelo sistema. Para obter mais informações, confira Atribuir um acesso de identidade gerenciada a um recurso usando a CLI do Azure.

   az role assignment create --assignee <objectid> --role '<role_name_or_id>' --scope "/subscriptions/<subscriptionId>/resourceGroups/<resource_group>"
   

Atualizar identidades gerenciadas atribuídas ao usuário

1. Exclua, recrie e anexe identidades gerenciadas atribuídas pelo usuário.

   Serviço do Azure	Mais informações
   Máquinas virtuais	Configurar identidades gerenciadas para recursos do Azure em uma VM do Azure usando a CLI do Azure
   conjuntos de escala de máquina virtual	Configurar identidades gerenciadas para recursos do Azure em um conjunto de dimensionamento de máquinas virtuais usando a CLI do Azure
   Outros serviços	Serviços compatíveis com identidades gerenciadas para recursos do Azure Criar, listar ou excluir uma identidade gerenciada atribuída pelo usuário usando a CLI do Azure

2. Use az role assignment create para atribuir funções a identidades gerenciadas atribuídas pelo usuário. Para obter mais informações, confira Atribuir um acesso de identidade gerenciada a um recurso usando a CLI do Azure.

   az role assignment create --assignee <objectid> --role '<role_name_or_id>' --scope "/subscriptions/<subscriptionId>/resourceGroups/<resource_group>"
   

Atualizar cofres de chaves

Esta seção descreve as etapas básicas para atualizar seus cofres de chaves. Para obter mais informações, confira Mover um Azure Key Vault para outra assinatura.

1. Atualize a ID do locatário associada a todos os cofres de chaves na assinatura para o diretório de destino.

2. Remover todas as entradas de política de acesso existentes.

3. Adicione entradas de política de acesso associadas ao diretório de destino.

Atualizar ACLs

1. Se você estiver usando o Azure Data Lake Storage Gen2, atribua as ACLs apropriadas. Para obter mais informações, consulte Controle de acesso no Azure Data Lake Storage Gen2.

2. Se você estiver usando Arquivos do Azure, atribua as ACLs apropriadas.

Examinar outros métodos de segurança

Embora as atribuições de função do Azure sejam removidas durante a transferência, os usuários da conta do proprietário original continuarão tendo acesso à assinatura por meio de outros mecanismos de segurança, incluindo:

• Chaves de acesso para serviços como Armazenamento.
• Certificados de gerenciamento que concedem ao administrador do usuário acesso a recursos de assinatura.
• Credenciais de Acesso Remoto para serviços como Máquinas Virtuais do Azure.

Se a sua intenção for remover o acesso de usuários no diretório de origem para que eles não tenham acesso no diretório de destino, considere a rotação de qualquer credencial. Até que as credenciais sejam atualizadas, os usuários continuarão a ter acesso após a transferência.

1. Girar chaves de acesso da conta de armazenamento. Para obter mais informações, confira Gerenciar chaves de acesso da conta de armazenamento.

2. Se você estiver usando chaves de acesso para outros serviços, como o Banco de Dados SQL do Azure ou mensagens do Barramento de Serviço do Azure, gire as chaves de acesso.

3. Para recursos que usam segredos, abra as configurações do recurso e atualize o segredo.

4. Para recursos que usam certificados, atualize o certificado.

Próximas etapas

• Transferir a propriedade de cobrança de uma assinatura do Azure para outra conta
• Transferir assinaturas do Azure entre assinantes e CSPs
• Associar ou adicionar uma assinatura do Azure ao locatário do Microsoft Entra
• Azure Lighthouse em cenários empresariais