Azure自動化特權

Question

我有兩個訂閱。

在一個訂閱中，我運行邏輯應用程序，而在邏輯應用程序中，我具有azure功能。

另一個訂閱包含用於通過邏輯應用程序和Azure函數進行自動化的目標資源。

為了運行與其關聯的Logic Apps和Azure功能，我需要對目標訂閱具有哪些特權？ 我希望能夠執行諸如停止VM，更改NSG設置，運行惡意軟件掃描等操作

我是否需要使用對兩個訂閱都擁有所有者權限的帳戶來運行邏輯應用程序？

問候，凱利

Answer 1

最好使用服務主體進行集中訪問控制。

這樣，您可以使用服務主體對資源進行身份驗證和授權操作。 也可以在Logic Apps中為Azure資源管理器連接器配置它。

另一種選擇是使用Managed Identity ，但是僅HTTP Action支持。

即使在您的Function Apps中，您也可以設置受管身份或使用帶有服務主體詳細信息的客戶端憑據流 。

至於對此服務主體的確切權限，您可以使用此內置角色引用來提供精細控制。 例如，僅停止/啟動VM，您的服務主體將需要Virtual Machine Contributor 。

您還可以通過創建自定義角色來提供對資源的更好訪問。