Automatización de solicitudes de funciones elevadas de recursos de Azure con Power Automate y Azure Automation

Rellene todos los campos necesarios en el formulario de creación de automatización y haga clic en Crear

d. Importar el AzureAD y espere a que el proceso finalice correctamente.

2. Cree Runbooks

a. Navegue hasta su Cuenta de Automatización, seleccione Runbooksy haga clic en Crear un Runbook.

b. Una vez creado el Runbook, haga clic en Editar y pegue su secuencia de comandos PowerShell y, a continuación, haga clic en Guardar y Publique.

3. El siguiente script puede utilizarse para elevar el acceso de un Usuario al rol de Colaborador y envía correos electrónicos si se produce algún error. El script primero valida si el usuario ya tiene un rol de Lector asignado a la suscripción a la que desea obtener acceso elevado. Si no es así, se producirá un error. Si el usuario ya tiene una función de colaborador en el recurso solicitado, también se producirá un error.

Las áreas resaltadas deben adaptarse a los detalles de su entorno.

param (
[Parámetro(Obligatorio = $true)]
[cadena] $subscriptionId,
parámetro(Obligatorio = $true)] [string] $resourceGroupName
[string] $resourceGroupName,
Parameter(Obligatorio = $true)] [cadena
[cadena] $resourceName,
Parameter(Obligatorio = $true)] [cadena] $resourceName
[cadena] $resourceType,
Parameter(Obligatorio = $true)] [cadena] $resourceType
[string] $userPrincipalName,
Parámetro(Obligatorio = $false)] [string
[cadena] $linkUrl
)

$ErrorActionPreference = "Continuar"
$errors = @()
function Send-Email($subject, $body, $to, $cc = $null, $isBodyHtml = $false) {
$credential = Get-AutomationPSCredential -Name 'Retransmisión SMTP'
$smtpServer = smtp.ejemplo.com
$smtpPort = <Int32>
$de = example@examplecompany.com
$mailParams = @{
Para = $to
Asunto = $subject
Cuerpo = $body
SmtpServer = $smtpServer
Credencial = $credential
Puerto = $smtpPort
UseSsl = $true
De = $from
BodyAsHtml = $isBodyHtml
}
if ($cc) {
$mailParams['Cc'] = $cc
}
Send-MailMessage @mailParams -ErrorAction Stop
}
try {
$connection = Connect-AzAccount -Identidad
} catch {
$errors += "Error al autenticar con Azure utilizando Managed Identity:$_"
}
try {
Set-AzContext -SubscriptionId $subscriptionId
} catch {
$errors += "Error al establecer el contexto de suscripción de Azure:$_"
}
$roleDefinitionName = 'Colaborador'
$readerRoleDefinitionName = 'Lector'
try {
$user = Get-AzADUser -UserPrincipalName $userPrincipalName -ErrorAction Stop
} catch {
$errors += "Error al recuperar el objeto de usuario para UPN '$userPrincipalName': $_"
}
# Comprobar si el usuario tiene el rol de Lector a nivel de suscripción
$readerRoleAssignment = Get-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $readerRoleDefinitionName -Scope "/subscriptions/$subscriptionId" -ErrorAction SilentlyContinue
if (-not $readerRoleAssignment) {
    $noReaderRoleHtml = @"
    <h2>No en función de lector</h2>

<p>Usuario <strong>$userPrincipalName</strong> no tiene la <strong>$readerRoleDefinitionName</strong> en el nivel de suscripción y no puede añadirse a la función <strong>$roleDefinitionName</strong> para el recurso.</p>
"@
    $noReaderRoleHtml += $signature
  Send-Email -subject "Missing Reader Role" -body $noReaderRoleHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true
    devolver
}

# Comprobar si el grupo de recursos existe
$resourceGroupExists = $true
$resourceGroup = Get-AzResourceGroup -Name $resourceGroupName -ErrorAction SilentlyContinue
if (-not $resourceGroup) {
    $errors += "El grupo de recursos '$resourceGroupName' no existe."
    $resourceGroupExists = $false
}

# Comprueba si el recurso existe dentro del grupo de recursos
  $dominio = "tudominio.onmicrosoft.com" # sustitúyalo por el dominio real de su inquilino AAD

# Comprueba si el recurso existe dentro del grupo de recursos utilizando tanto el nombre como el tipo
$resourceExists = $false
$resourceUrl = ""
if ($resourceGroupExists) {
    $resources = Get-AzResource -ResourceGroupName $resourceGroupName -ResourceType $resourceType -Name $resourceName -ErrorAction SilentlyContinue
    $resource = $resources | Where-Object { $_.ResourceType -eq $resourceType -y $_.Name -eq $resourceName }
    if ($resource) {
        $resourceExists = $true
        # Construye la URL utilizando el dominio, el grupo de recursos, el tipo de recurso y el nombre del recurso
        $resourceUrl = "https://portal.azure.com/#@$domain/resourcegroups/$resourceGroupName/providers/$($resource.ResourceType)/$resourceName"
    } else {
        $errors += "El recurso de tipo '$resourceType' con nombre '$resourceName' no existe en el grupo de recursos '$resourceGroupName'."
    }
}

# Intentar asignación de rol sólo si existe grupo de recursos y recurso
if ($resourceGroupExists -y $resourceExists) {
    try {
        $roleAssignment = New-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -ErrorAction Stop
    } catch {
        if ($_.Exception -match 'Conflicto') {
            # El usuario ya tiene el rol Contributor, envía un email específico
            $alreadyContributorHtml = @"
<h2>Usuario ya colaborador</h2> 

            <p>Usuario<strong>$userPrincipalName</strong>ya tiene el<strong>$roleDefinitionName</strong>función para el recurso<strong>1TP57NombreRecurso</strong>.</p> 

            <p>URL del recurso:<a href='$linkUrl'>1TP57EnlaceUrl</a></p>

"@

$alreadyContributorHtml += 1TP57Firma

  Send-Email -subject "El usuario ya tiene función de colaborador" -body $alreadyContributorHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true

} else {

$errors += "Error al asignar el rol '$roleDefinitionName' al usuario '$userPrincipalName': $_"

}

}

}

$signature = @" 

<p>Saludos cordiales,</p> 

<p><strong>Su equipo informático</strong></p>

<p><em>Este es un mensaje automático, por favor no responda directamente a este correo electrónico.</em></p> 

"@

if ($errores) {

1TP57MensajeDeErrorHtml = "<h2>Problemas detectados en la asignación de roles de Azure</h2><ul>"

foreach ($errorItem in $errors) {

$errorMessageHtml += "<li>$errorItem</li>"

}

$errorMessageHtml += "</ul>1TP57Firma"

  Send-Email -subject "Problemas con la asignación de funciones de Azure" -body $errorMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true

} elseif ($roleAssignment) {

# La asignación de funciones se ha realizado correctamente, envíe un correo electrónico de éxito

$successMessageHtml = @"<h2>Éxito de la asignación de funciones</h2> 

    <p>Usuario<strong>$userPrincipalName</strong>se le asignó con éxito el<strong>$roleDefinitionName</strong>función para el recurso<strong>1TP57NombreRecurso</strong>.</p> 

    <p>URL del recurso:<a href='$linkUrl'>1TP57EnlaceUrl</a></p>

"@

$successMessageHtml += $signature

  Send-Email -subject "Azure Role Assignment Success" -body $successMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true

}

Tenga en cuenta que los scripts PowerShell anteriores y siguientes suelen tardar aproximadamente 5 minutos en completarse, ya que los módulos AzureAD tardan en cargarse.

Tenga en cuenta también que al añadir un nuevo rol, como el de colaborador, el usuario debe cerrar la sesión y volver a entrar en Azure o utilizar una ventana de incógnito/privada para que el nuevo rol surta efecto.

4. Debe crearse un segundo Runbook para eliminar el rol de Colaborador cuando haya transcurrido un periodo de tiempo definido.

Un ejemplo de script PowerShell para esto es:

  param (
[Parámetro(Obligatorio = $true)]
[cadena] $subscriptionId,
parámetro(Obligatorio = $true)] [string] $resourceGroupName
[string] $resourceGroupName,
Parameter(Obligatorio = $true)] [cadena
[cadena] $resourceName,
Parameter(Obligatorio = $true)] [cadena] $resourceName
[cadena] $resourceType,
Parámetro(Obligatorio = $true)] [string
[string] $userPrincipalName,
Parámetro(Obligatorio = $false)] [string
[cadena] $linkUrl
)

$ErrorActionPreference = "Continuar"
$errors = @()
$signature = @" 

 
<p>Saludos cordiales,</p> 
<p><strong>Su equipo informático</strong></p> 
<p><em>Este es un mensaje automático, por favor no responda directamente a este correo electrónico.</em></p> 
"@

function Send-Email($subject, $body, $to, $cc = $null, $isBodyHtml = $false) {

$credential = Get-AutomationPSCredential -Name 'Retransmisión SMTP'
  $smtpServer = 'smtp.ejemplo.com'
  $smtpPort =<int 32>
  $from = 'example@examplecompany.com'
$mailParams = @{
Para = $to
Asunto = $subject
Cuerpo = $cuerpo
SmtpServer = $smtpServer
Credencial = $credential
Puerto = $smtpPort
UseSsl = $true
De = $from
BodyAsHtml = $isBodyHtml
}
if ($cc) {
$mailParams['Cc'] = $cc
}
Send-MailMessage @mailParams -ErrorAction Stop
}

try {
$connection = Connect-AzAccount -Identidad
} catch {
$errors += "Error al autenticar con Azure usando Managed Identity:$_"
}

try {
Set-AzContext -SubscriptionId $subscriptionId

} catch {
$errors += "Error al establecer el contexto de suscripción de Azure:$_"
}

$roleDefinitionName = 'Colaborador'

try {
$user = Get-AzADUser -UserPrincipalName $userPrincipalName -ErrorAction Stop
} catch {
$errors += "Error al recuperar el objeto de usuario para UPN '$userPrincipalName': $_"
} 

No en función de lector

# Comprobar si el grupo de recursos existe y obtener el recurso
$resourceGroupExists = $resourceExists = $false
if ((Get-AzResourceGroup -Name $resourceGroupName -ErrorAction SilentlyContinue)) {
$resourceGroupExists = $true
$resources = Get-AzResource -ResourceGroupName $resourceGroupName -ResourceType $resourceType -Name $resourceName -ErrorAction SilentlyContinue
$resource = $resources | Where-Object { $_.ResourceType -eq $resourceType -and $_.Name -eq $resourceName }

if ($resource) {

$resourceExists = $true

} else {
$errors += "El recurso de tipo '$resourceType' con nombre '$resourceName' no existe en el grupo de recursos '$resourceGroupName'."
}
} else {

$errors += "El grupo de recursos '$resourceGroupName' no existe."
}

# Intento de eliminar la asignación de rol si el grupo de recursos y el recurso existen

if ($resourceGroupExists -y $resourceExists) {
try {

$roleAssignments = Get-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -ErrorAction SilentlyContinue

foreach ($roleAssignment in $roleAssignments) {

# Nota: La supresión de la confirmación funcionará si el cmdlet lo admite.
Remove-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -Confirm:$false

}

# Comprobar si la asignación de roles se ha eliminado correctamente
if (-not (Get-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -ErrorAction SilentlyContinue)) {

# Si la eliminación se realiza correctamente, enviar un correo electrónico de éxito
$successMessageHtml = @"<h2>Éxito de la eliminación de funciones</h2> 
            <p>Usuario<strong>$userPrincipalName</strong>se ha eliminado correctamente del<strong>$roleDefinitionName</strong>función para el recurso<strong>1TP57NombreRecurso</strong>.</p>
            <p>URL del recurso:<a href='$linkUrl'>1TP57EnlaceUrl</a></p> 
"@
$successMessageHtml += $signature
  Send-Email -subject "Azure Role Removal Success" -body $successMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com " -isBodyHtml $true
} else {
$errors += "El rol '$roleDefinitionName' sigue existiendo para el usuario '$userPrincipalName' tras el intento de eliminación."
}

} catch {
$errors += "Error al eliminar el rol '$roleDefinitionName' del usuario '$userPrincipalName': $_"
}

}

if ($errors) {
1TP57MensajeDeErrorHtml = "<h2>Problemas detectados en la eliminación de funciones de Azure</h2><ul>"
foreach ($errorItem in $errors) {
$errorMessageHtml += "<li>$errorItem</li>"
}
$errorMessageHtml += "</ul>$signature"
  Send-Email -subject "Problemas con la eliminación de funciones de Azure" -body $errorMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true

} 

5. Asigne a la cuenta de automatización la función de administrador de acceso de usuario por suscripción.

a. Para que la secuencia de comandos de PowerShell pueda ejecutarse, la cuenta de automatización debe tener la función de administrador de acceso de usuario.
b. Añadir un rol en cada suscripción para el que desea permitir que se solicite acceso elevado.
c. En la sección Función, seleccione Administrador de acceso de usuarios y haga clic en Siguiente.