Transferir uma subscrição do Azure para um diretório diferente do Microsoft Entra.

As organizações podem ter várias subscrições do Azure. Cada subscrição está associada a um diretório do Microsoft Entra específico. Para facilitar a gestão, pode querer transferir uma subscrição para um diretório diferente do Microsoft Entra. Quando transfere uma subscrição para um diretório diferente do Microsoft Entra, alguns recursos não são transferidos para o diretório de destino. Por exemplo, todas as atribuições de função e funções personalizadas no controle de acesso baseado em função do Azure (Azure RBAC) são excluídas permanentemente do diretório de origem e não são transferidas para o diretório de destino.

Este artigo descreve as etapas básicas que você pode seguir para transferir uma assinatura para um diretório diferente do Microsoft Entra e recriar alguns dos recursos após a transferência.

Se, em vez disso , quiser bloquear a transferência de assinaturas para diretórios diferentes em sua organização, você pode configurar uma política de assinatura. Para obter mais informações, veja Gerir políticas de subscrição do Azure.

Descrição geral

Transferir uma subscrição do Azure para um diretório do Microsoft Entra diferente é um processo complexo que tem de ser cuidadosamente planeado e executado. Muitos serviços do Azure exigem que os princípios de segurança (identidades) operem normalmente ou mesmo gerem outros recursos do Azure. Este artigo tenta cobrir a maioria dos serviços do Azure que dependem fortemente de entidades de segurança, mas não é abrangente.

O diagrama a seguir mostra as etapas básicas que você deve seguir ao transferir uma assinatura para um diretório diferente.

1. Preparar a transferência

2. Transferir a subscrição do Azure para um diretório diferente

3. Recriar os recursos no diretório de destino, como atribuições de funções, funções personalizadas e identidades geridas

   

Decidir se deseja transferir uma assinatura para um diretório diferente

A seguir estão alguns motivos pelos quais você pode querer transferir uma assinatura:

• Devido a uma fusão ou aquisição da empresa, quer gerir uma subscrição adquirida no diretório do Microsoft Entra ID principal.
• Alguém na sua organização criou uma subscrição e pretende consolidar a gestão num diretório do Microsoft Entra específico.
• Tem aplicações que dependem de um ID ou URL de subscrição específico e não é fácil modificar a configuração ou o código da aplicação.
• Uma parte da sua empresa foi dividida numa empresa separada e precisa de mover alguns dos seus recursos para um diretório do diretório do Microsoft Entra.
• Quer gerir alguns dos seus recursos num diretório do Microsoft Entra ID diferente para fins de isolamento de segurança.

Abordagens alternativas

A transferência de uma assinatura requer tempo de inatividade para concluir o processo. Dependendo do cenário, você pode considerar as seguintes abordagens alternativas:

• Recrie os recursos e copie os dados para o diretório de destino e a assinatura.
• Adote uma arquitetura de vários diretórios e deixe a assinatura no diretório de origem. Use o Azure Lighthouse para delegar recursos para que os usuários no diretório de destino possam acessar a assinatura no diretório de origem. Para obter mais informações, consulte Azure Lighthouse em cenários corporativos.

Compreender o impacto da transferência de subscrições

Vários recursos do Azure têm uma dependência de uma assinatura ou de um diretório. Dependendo da sua situação, a tabela a seguir lista o impacto conhecido da transferência de uma assinatura. Executando as etapas neste artigo, você pode recriar alguns dos recursos que existiam antes da transferência de assinatura.

Para obter uma lista de alguns dos recursos do Azure que são afetados quando transfere uma subscrição, também pode executar uma consulta no Azure Resource Graph. Para obter uma consulta de exemplo, consulte Listar recursos afetados ao transferir uma assinatura do Azure.

Pré-requisitos

Para concluir estas etapas, você precisará:

• Bash no Azure Cloud Shell ou CLI do Azure
• Proprietário da conta de cobrança da assinatura que você deseja transferir no diretório de origem
• Uma conta de utilizador no diretório de origem e de destino para o utilizador que faz a alteração do diretório

Passo 1: Preparar a transferência

Entrar no diretório de origem

1. Entre no Azure como administrador.

2. Obtenha uma lista das suas subscrições com o comando az account list .

   az account list --output table
   

3. Use az account set para definir a assinatura ativa que você deseja transferir.

   az account set --subscription "Marketing"
   

Instalar a extensão do Azure Resource Graph

A extensão da CLI do Azure para o Azure Resource Graph, resource-graph, permite que você use o comando az graph para consultar recursos gerenciados pelo Azure Resource Manager. Você usará esse comando em etapas posteriores.

1. Use az extension list para ver se você tem a extensão resource-graph instalada.

   az extension list
   

2. Se você estiver usando uma versão de visualização ou uma versão mais antiga da extensão de gráfico de recursos, use az extension update para atualizar a extensão.

   az extension update --name resource-graph
   

3. Se a extensão resource-graph não estiver instalada, use az extension add para instalar a extensão.

   az extension add --name resource-graph
   

Salvar todas as atribuições de função

1. Use az role assignment list para listar todas as atribuições de função (incluindo atribuições de função herdadas).

   Para facilitar a revisão da lista, você pode exportar a saída como JSON, TSV ou uma tabela. Para obter mais informações, consulte Listar atribuições de função usando o RBAC do Azure e a CLI do Azure.

   az role assignment list --all --include-inherited --output json > roleassignments.json
   az role assignment list --all --include-inherited --output tsv > roleassignments.tsv
   az role assignment list --all --include-inherited --output table > roleassignments.txt
   

2. Salve a lista de atribuições de função.

   Quando você transfere uma assinatura, todas as atribuições de função são excluídas permanentemente , por isso é importante salvar uma cópia.

3. Analise a lista de atribuições de função. Pode haver atribuições de função que você não precisará no diretório de destino.

Salvar funções personalizadas

1. Use a lista de definição de função az para listar suas funções personalizadas. Para obter mais informações, consulte Criar ou atualizar funções personalizadas do Azure usando a CLI do Azure.

   az role definition list --custom-role-only true --output json --query '[].{roleName:roleName, roleType:roleType}'
   

2. Salve cada função personalizada que você precisará no diretório de destino como um arquivo JSON separado.

   az role definition list --name <custom_role_name> > customrolename.json
   

3. Faça cópias dos arquivos de função personalizados.

4. Modifique cada cópia para usar o seguinte formato.

   Você usará esses arquivos posteriormente para recriar as funções personalizadas no diretório de destino.

   {
     "Name": "",
     "Description": "",
     "Actions": [],
     "NotActions": [],
     "DataActions": [],
     "NotDataActions": [],
     "AssignableScopes": []
   }
   

Determinar mapeamentos de usuário, grupo e entidade de serviço

1. Com base na sua lista de atribuições de função, determine os usuários, grupos e entidades de serviço para os quais você mapeará no diretório de destino.

   Você pode identificar o tipo de entidade examinando a principalType propriedade em cada atribuição de função.

2. Se necessário, no diretório de destino, crie usuários, grupos ou entidades de serviço necessárias.

Listar atribuições de função para identidades gerenciadas

As identidades gerenciadas não são atualizadas quando uma assinatura é transferida para outro diretório. Como resultado, as identidades geridas atribuídas pelo sistema ou pelo utilizador serão quebradas. Após a transferência, você pode reativar todas as identidades gerenciadas atribuídas ao sistema. Para identidades gerenciadas atribuídas pelo usuário, você terá que recriá-las e anexá-las no diretório de destino.

1. Analise a lista de serviços do Azure que dão suporte a identidades gerenciadas para observar onde você pode estar usando identidades gerenciadas.

2. Use az ad sp list para listar suas identidades gerenciadas atribuídas pelo sistema e pelo usuário.

   az ad sp list --all --filter "servicePrincipalType eq 'ManagedIdentity'"
   

3. Na lista de identidades gerenciadas, determine quais são atribuídas ao sistema e quais são atribuídas pelo usuário. Você pode usar os seguintes critérios para determinar o tipo.

   Critérios	Tipo de identidade gerenciada
   alternativeNames a propriedade inclui isExplicit=False	Atribuída pelo sistema
   alternativeNames propriedade não inclui isExplicit	Atribuída pelo sistema
   alternativeNames a propriedade inclui isExplicit=True	Atribuída pelo utilizador

   Você também pode usar az identity list para listar apenas identidades gerenciadas atribuídas pelo usuário. Para obter mais informações, consulte Criar, listar ou excluir uma identidade gerenciada atribuída pelo usuário usando a CLI do Azure.

   az identity list
   

4. Obtenha uma lista dos objectId valores para suas identidades gerenciadas.

5. Pesquise sua lista de atribuições de função para ver se há atribuições de função para suas identidades gerenciadas.

Listar cofres de chaves

Quando você cria um cofre de chaves, ele é automaticamente vinculado à ID de locatário padrão do Microsoft Entra para a assinatura na qual ele é criado. Todas as entradas de política de acesso também estão associadas a este ID de inquilino. Para obter mais informações, consulte Movendo um Cofre de Chaves do Azure para outra assinatura.

• Se você tiver um cofre de chaves, use az keyvault show para listar as políticas de acesso. Para obter mais informações, consulte Atribuir uma política de acesso ao Cofre da Chave.

  az keyvault show --name MyKeyVault
  

Listar bancos de dados SQL do Azure com autenticação do Microsoft Entra

• Use az sql server ad-admin list e a extensão az graph para ver se você está usando bancos de dados SQL do Azure com a integração de autenticação do Microsoft Entra habilitada. Para obter mais informações, consulte Configurar e gerenciar a autenticação do Microsoft Entra com SQL.

  az sql server ad-admin list --ids $(az graph query -q "resources | where type == 'microsoft.sql/servers' | project id" --query data[*].[id] -o tsv)
  

Listar ACLs

1. Se você estiver usando o Azure Data Lake Storage Gen2, liste as ACLs que são aplicadas a qualquer arquivo usando o portal do Azure ou o PowerShell.

2. Se você estiver usando Arquivos do Azure, liste as ACLs que são aplicadas a qualquer arquivo.

Listar outros recursos conhecidos

1. Use az account show para obter seu ID de assinatura (em bash).

   subscriptionId=$(az account show --output tsv --query id)
   

2. Use a extensão az graph para listar outros recursos do Azure com dependências de diretório conhecidas do Microsoft Entra (em bash).

   az graph query -q 'resources 
       | where type != "microsoft.azureactivedirectory/b2cdirectories" 
       | where  identity <> "" or properties.tenantId <> "" or properties.encryptionSettingsCollection.enabled == true 
       | project name, type, kind, identity, tenantId, properties.tenantId' --subscriptions $subscriptionId --output yaml
   

Passo 2: Transferir a subscrição

Nesta etapa, você transfere a assinatura do diretório de origem para o diretório de destino. As etapas serão diferentes, dependendo se você também deseja transferir a propriedade de faturamento.

1. Determine se também quer transferir a propriedade de faturação para outra conta.

2. Transfira a subscrição para um diretório diferente.

   • Se quiser manter a propriedade de faturação atual, siga os passos em Associar ou adicionar uma subscrição do Azure ao inquilino do Microsoft Entra ID.
   • Se também quiser transferir a propriedade de faturação, siga os passos em Transferir a propriedade de faturação de uma subscrição do Azure para outra conta. Para transferir a subscrição para um diretório diferente, tem de marcar a caixa de verificação Inquilino do Microsoft Entra ID da subscrição.

3. Depois de concluir a transferência da assinatura, volte a este artigo para recriar os recursos no diretório de destino.

Etapa 3: recriar recursos

Entrar no diretório de destino

1. No diretório de destino, entre como o usuário que aceitou a solicitação de transferência.

   Somente o usuário da nova conta que aceitou a solicitação de transferência terá acesso para gerenciar os recursos.

2. Obtenha uma lista das suas subscrições com o comando az account list .

   az account list --output table
   

3. Use az account set para definir a assinatura ativa que você deseja usar.

   az account set --subscription "Contoso"
   

Criar funções personalizadas

• Use az role definition create para criar cada função personalizada a partir dos arquivos criados anteriormente. Para obter mais informações, consulte Criar ou atualizar funções personalizadas do Azure usando a CLI do Azure.

  az role definition create --role-definition <role_definition>
  

Atribuir funções

• Use az role assignment create para atribuir funções a usuários, grupos e entidades de serviço. Para obter mais informações, veja Utilizar a CLI do Azure para atribuir funções do Azure.

  az role assignment create --role <role_name_or_id> --assignee <assignee> --scope "/subscriptions/<subscriptionId>/resourceGroups/<resource_group>"
  

Atualizar identidades gerenciadas atribuídas pelo sistema

1. Desative e reative as identidades gerenciadas atribuídas ao sistema.

   Serviço do Azure	Mais informações
   Máquinas virtuais	Configurar identidades gerenciadas para recursos do Azure em uma VM do Azure usando a CLI do Azure
   Conjuntos de dimensionamento de máquinas virtuais	Configurar identidades gerenciadas para recursos do Azure em um conjunto de dimensionamento de máquina virtual usando a CLI do Azure
   Outros serviços	Serviços que dão suporte a identidades gerenciadas para recursos do Azure

2. Use az role assignment create para atribuir funções a identidades gerenciadas atribuídas pelo sistema. Para obter mais informações, consulte Atribuir um acesso de identidade gerenciado a um recurso usando a CLI do Azure.

   az role assignment create --assignee <objectid> --role '<role_name_or_id>' --scope "/subscriptions/<subscriptionId>/resourceGroups/<resource_group>"
   

Atualizar identidades gerenciadas atribuídas pelo usuário

1. Exclua, recrie e anexe identidades gerenciadas atribuídas pelo usuário.

   Serviço do Azure	Mais informações
   Máquinas virtuais	Configurar identidades gerenciadas para recursos do Azure em uma VM do Azure usando a CLI do Azure
   Conjuntos de dimensionamento de máquinas virtuais	Configurar identidades gerenciadas para recursos do Azure em um conjunto de dimensionamento de máquina virtual usando a CLI do Azure
   Outros serviços	Serviços que dão suporte a identidades gerenciadas para recursos do Azure Criar, listar ou excluir uma identidade gerenciada atribuída pelo usuário usando a CLI do Azure

2. Use az role assignment create para atribuir funções a identidades gerenciadas atribuídas pelo usuário. Para obter mais informações, consulte Atribuir um acesso de identidade gerenciado a um recurso usando a CLI do Azure.

   az role assignment create --assignee <objectid> --role '<role_name_or_id>' --scope "/subscriptions/<subscriptionId>/resourceGroups/<resource_group>"
   

Atualizar cofres de chaves

Esta seção descreve as etapas básicas para atualizar seus cofres de chaves. Para obter mais informações, consulte Movendo um Cofre de Chaves do Azure para outra assinatura.

1. Atualize o ID do locatário associado a todos os cofres de chaves existentes na assinatura do diretório de destino.

2. Remover todas as entradas de política de acesso existentes.

3. Adicione novas entradas de política de acesso associadas ao diretório de destino.

Atualizar ACLs

1. Se você estiver usando o Azure Data Lake Storage Gen2, atribua as ACLs apropriadas. Para obter mais informações, veja Controlo de acesso no Azure Data Lake Storage Gen2.

2. Se você estiver usando Arquivos do Azure, atribua as ACLs apropriadas.

Rever outros métodos de segurança

Embora as atribuições de função sejam removidas durante a transferência, os usuários na conta de proprietário original podem continuar a ter acesso à assinatura por meio de outros métodos de segurança, incluindo:

• As chaves de acesso para serviços, como o Armazenamento.
• Certificados de gerenciamento que concedem ao administrador do usuário acesso aos recursos de assinatura.
• As credenciais de Acesso Remoto para serviços, como as Máquinas Virtuais do Azure.

Se sua intenção for remover o acesso dos usuários no diretório de origem para que eles não tenham acesso no diretório de destino, você deve considerar a rotação de quaisquer credenciais. Até que as credenciais sejam atualizadas, os usuários continuarão a ter acesso após a transferência.

1. Gire as chaves de acesso da conta de armazenamento. Para obter mais informações, consulte Gerenciar chaves de acesso da conta de armazenamento.

2. Se você estiver usando chaves de acesso para outros serviços, como o Banco de Dados SQL do Azure ou o Azure Service Bus Messaging, gire as chaves de acesso.

3. Para recursos que usam segredos, abra as configurações do recurso e atualize o segredo.

4. Para recursos que usam certificados, atualize o certificado.

Próximos passos

• Transferir a propriedade de faturação de uma subscrição do Azure para outra conta
• Transferir subscrições do Azure entre subscritores e CSPs
• Associar ou adicionar uma assinatura do Azure ao seu locatário do Microsoft Entra
• Azure Lighthouse em cenários empresariais