Automatiser les demandes de rôles élevés pour les ressources Azure avec Power Automate et Azure Automation

Remplissez tous les champs nécessaires du formulaire de création d'une automatisation et cliquez sur Créer

d. Importer le AzureAD et attendez que le processus se termine avec succès.

2. Créer Cahiers d'adresses

a. Accédez à votre compte d'automatisation, sélectionnez Cahiers d'adresseset cliquez sur Créer un Runbook.

b. Lorsque le Runbook est créé, cliquez sur Editer et collez votre script PowerShell puis cliquez sur Économiser et Publier.

3. Le script ci-dessous peut être utilisé pour élever l'accès d'un utilisateur au rôle de contributeur et déclenche des courriels en cas d'erreur. Le script vérifie d'abord si l'utilisateur a déjà un rôle de lecteur attribué à l'abonnement pour lequel il souhaite obtenir un accès élevé. Si ce n'est pas le cas, il se trompe. Si l'utilisateur a déjà un rôle de contributeur sur la ressource demandée, il y aura également une erreur.

Les zones mises en évidence doivent être adaptées aux détails de votre environnement.

param (
[Paramètre(Obligatoire = $true)]
[string] $subscriptionId,
[Parameter(Mandatory = $true)]
[string] $resourceGroupName,
[Parameter(Mandatory = $true)] [string] $resourceGroupName, [Parameter(Mandatory = $true)]
[string] $resourceName,
[Paramètre(Obligatoire = $true)]
[string] $resourceType,
[Parameter(Mandatory = $true)] [string] $resourceType, [Parameter(Mandatory = $true)]
[string] $userPrincipalName,
[Paramètre(Obligatoire = $false)]
[string] $linkUrl
)

$ErrorActionPreference = "Continuer"
$errors = @()
function Send-Email($subject, $body, $to, $cc = $null, $isBodyHtml = $false) {
$credential = Get-AutomationPSCredential -Name 'SMTP Relay' (Relais SMTP)
$smtpServer = 'smtp.example.com'
$smtpPort = <Int32>
$from = example@examplecompany.com
$mailParams = @{
To = $to
Objet = $subject
Corps = $body
SmtpServer = $smtpServer
Credential = $credential
Port = $smtpPort
UseSsl = $true
From = $from
BodyAsHtml = $isBodyHtml
}
if ($cc) {
$mailParams['Cc'] = $cc
}
Send-MailMessage @mailParams -ErrorAction Stop
}
try {
$connection = Connect-AzAccount -Identity
} catch {
$errors += "Échec de l'authentification auprès d'Azure à l'aide de Managed Identity :$_"
}
try {
Set-AzContext -SubscriptionId $subscriptionId
} catch {
$errors += "Échec de la définition du contexte d'abonnement Azure :$_"
}
$roleDefinitionName = 'Contributor'
$readerRoleDefinitionName = 'Lecteur'
try {
$user = Get-AzADUser -UserPrincipalName $userPrincipalName -ErrorAction Stop
} catch {
$errors += "Échec de la récupération de l'objet utilisateur pour l'UPN '$userPrincipalName' : $_"
}
# Vérifier si l'utilisateur a le rôle de lecteur au niveau de l'abonnement
$readerRoleAssignment = Get-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $readerRoleDefinitionName -Scope "/subscriptions/$subscriptionId" -ErrorAction SilentlyContinue
if (-not $readerRoleAssignment) {
    $noReaderRoleHtml = @"
    <h2>Pas dans le rôle de lecteur</h2>

<p>Utilisateur <strong>$userPrincipalName</strong> ne dispose pas de la <strong>$readerRoleDefinitionName</strong> au niveau de l'abonnement et ne peut pas être ajouté au rôle de <strong>$roleDefinitionName</strong> pour la ressource.</p>
"@
    $noReaderRoleHtml += $signature
  Send-Email -subject "Missing Reader Role" -body $noReaderRoleHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com"-isBodyHtml $true
    retour
}

# Vérifier si le groupe de ressources existe
$resourceGroupExists = $true
$resourceGroup = Get-AzResourceGroup -Name $resourceGroupName -ErrorAction SilentlyContinue
if (-not $resourceGroup) {
    $errors += "Le groupe de ressources '$resourceGroupName' n'existe pas."
    $resourceGroupExists = $false
}

# Vérifier si la ressource existe dans le groupe de ressources
  $domain = "votredomaine.onmicrosoft.com"# remplacer par votre domaine de locataire AAD réel

# Vérifier si la ressource existe dans le groupe de ressources en utilisant à la fois le nom et le type
$resourceExists = $false
$resourceUrl = ""
if ($resourceGroupExists) {
    $resources = Get-AzResource -ResourceGroupName $resourceGroupName -ResourceType $resourceType -Name $resourceName -ErrorAction SilentlyContinue
    $resource = $resources | Where-Object { $_.ResourceType -eq $resourceType -and $_.Name -eq $resourceName }
    if ($resource) {
        $resourceExists = $true
        # Construire l'URL à l'aide du domaine, du groupe de ressources, du type de ressource et du nom de la ressource
        $resourceUrl = "https://portal.azure.com/#@$domain/resourcegroups/$resourceGroupName/providers/$($resource.ResourceType)/$resourceName"
    } else {
        $errors += "La ressource de type '$resourceType' avec le nom '$resourceName' n'existe pas dans le groupe de ressources '$resourceGroupName'."
    }
}

# Tentative d'attribution de rôle uniquement si le groupe de ressources et la ressource existent
if ($resourceGroupExists -and $resourceExists) {
    try {
        $roleAssignment = New-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -ErrorAction Stop
    } catch {
        if ($_.Exception -match 'Conflict') {
            # L'utilisateur a déjà le rôle de contributeur, envoyer un email spécifique
            $alreadyContributorHtml = @"
<h2>Utilisateur Déjà un contributeur</h2> 

            <p>Utilisateur<strong>$userPrincipalName</strong>dispose déjà de la<strong>$roleDefinitionName</strong>rôle pour la ressource<strong>$resourceName</strong>.</p> 

            <p>URL de la ressource :<a href='$linkUrl'>$linkUrl</a></p>

"@

$alreadyContributorHtml += $signature

  Send-Email -subject "User Already Has Contributor Role" -body $alreadyContributorHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com"-isBodyHtml $true

} else {

$errors += "Échec de l'attribution du rôle '$roleDefinitionName' à l'utilisateur '$userPrincipalName' : $_"

}

}

}

$signature = @" 

<p>Je vous prie d'agréer, Madame, Monsieur, l'expression de mes salutations distinguées,</p> 

<p><strong>Votre équipe informatique</strong></p>

<p><em>Il s'agit d'un message automatisé, veuillez ne pas répondre directement à cet e-mail.</em></p> 

"@

if ($errors) {

$errorMessageHtml = "<h2>Problèmes détectés lors de l'attribution des rôles dans Azure</h2><ul>"

foreach ($errorItem in $errors) {

$errorMessageHtml += "<li>$errorItem</li>"

}

$errorMessageHtml += "</ul>$signature"

  Send-Email -subject "Azure Role Assignment Issues" -body $errorMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com"-isBodyHtml $true

elseif ($roleAssignment) {

# L'attribution de rôle a réussi, envoyer un e-mail de réussite

$successMessageHtml = @"<h2>Succès de l'attribution des rôles</h2> 

    <p>Utilisateur<strong>$userPrincipalName</strong>s'est vu attribuer avec succès le<strong>$roleDefinitionName</strong>rôle pour la ressource<strong>$resourceName</strong>.</p> 

    <p>URL de la ressource :<a href='$linkUrl'>$linkUrl</a></p>

"@

$successMessageHtml += $signature

  Send-Email -subject "Azure Role Assignment Success" -body $successMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com"-isBodyHtml $true

}

Veuillez noter que les scripts PowerShell ci-dessus et ci-dessous prennent environ 5 minutes avant de se terminer, car les modules AzureAD prennent du temps à se charger.

Notez également que lors de l'ajout d'un nouveau rôle tel que celui de contributeur, l'utilisateur doit se déconnecter et se reconnecter à Azure ou utiliser une fenêtre Incognito/Privée pour que le nouveau rôle prenne effet.

4. Un second Runbook doit être créé pour supprimer le rôle de contributeur au terme d'une période définie.

Voici un exemple de script PowerShell :

  param (
[Paramètre(Obligatoire = $true)]
[string] $subscriptionId,
[Parameter(Mandatory = $true)]
[string] $resourceGroupName,
[Parameter(Mandatory = $true)] [string] $resourceGroupName, [Parameter(Mandatory = $true)]
[string] $resourceName,
[Paramètre(Obligatoire = $true)]
[string] $resourceType,
[Parameter(Mandatory = $true)] [string] $resourceType, [Parameter(Mandatory = $true)]
[string] $userPrincipalName,
[Paramètre(Obligatoire = $false)]
[string] $linkUrl
)

$ErrorActionPreference = "Continue"
$errors = @()
$signature = @" 

 
<p>Je vous prie d'agréer, Madame, Monsieur, l'expression de mes salutations distinguées,</p> 
<p><strong>Votre équipe informatique</strong></p> 
<p><em>Il s'agit d'un message automatisé, veuillez ne pas répondre directement à cet e-mail.</em></p> 
"@

function Send-Email($subject, $body, $to, $cc = $null, $isBodyHtml = $false) {

$credential = Get-AutomationPSCredential -Name 'SMTP Relay' (Relais SMTP)
  $smtpServer = 'smtp.example.com'
  $smtpPort =<int 32>
  $from = 'example@examplecompany.com'
$mailParams = @{
To = $to
Sujet = $subject
Corps = $body
SmtpServer = $smtpServer
Credential = $credential
Port = $smtpPort
UseSsl = $true
From = $from
BodyAsHtml = $isBodyHtml
}
if ($cc) {
$mailParams['Cc'] = $cc
}
Send-MailMessage @mailParams -ErrorAction Stop
}

try {
$connection = Connect-AzAccount -Identity
} catch {
$errors += "Échec de l'authentification auprès d'Azure à l'aide de Managed Identity :$_"
}

try {
Set-AzContext -SubscriptionId $subscriptionId

} catch {
$errors += "Échec de la définition du contexte d'abonnement Azure :$_"
}

$roleDefinitionName = 'Contributor'

try {
$user = Get-AzADUser -UserPrincipalName $userPrincipalName -ErrorAction Stop
} catch {
$errors += "Échec de la récupération de l'objet utilisateur pour l'UPN '$userPrincipalName' : $_"
} 

Pas dans le rôle de lecteur

# Vérifier si le groupe de ressources existe et obtenir la ressource
$resourceGroupExists = $resourceExists = $false
if ((Get-AzResourceGroup -Name $resourceGroupName -ErrorAction SilentlyContinue)) {
$resourceGroupExists = $true
$resources = Get-AzResource -ResourceGroupName $resourceGroupName -ResourceType $resourceType -Name $resourceName -ErrorAction SilentlyContinue
$resource = $resources | Where-Object { $_.ResourceType -eq $resourceType -and $_.Name -eq $resourceName }

if ($resource) {

$resourceExists = $true

} else {
$errors += "La ressource de type '$resourceType' avec le nom '$resourceName' n'existe pas dans le groupe de ressources '$resourceGroupName'."
}
} else {

$errors += "Le groupe de ressources '$resourceGroupName' n'existe pas."
}

# Tentative de suppression de l'attribution de rôle si le groupe de ressources et la ressource existent

if ($resourceGroupExists -and $resourceExists) {
try {

$roleAssignments = Get-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -ErrorAction SilentlyContinue

foreach ($roleAssignment in $roleAssignments) {

# Remarque : la suppression de la confirmation fonctionnera si la cmdlet la prend en charge.
Remove-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -Confirm:$false

}

# Vérifier si les attributions de rôle ont été supprimées avec succès
if (-not (Get-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -ErrorAction SilentlyContinue)) {

# Si la suppression est réussie, envoyer un courriel de réussite
$successMessageHtml = @"<h2>Succès du retrait des rôles</h2> 
            <p>Utilisateur<strong>$userPrincipalName</strong>a été supprimée avec succès de la base de données<strong>$roleDefinitionName</strong>rôle pour la ressource<strong>$resourceName</strong>.</p>
            <p>URL de la ressource :<a href='$linkUrl'>$linkUrl</a></p> 
"@
$successMessageHtml += $signature
  Send-Email -subject "Azure Role Removal Success" -body $successMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com "-isBodyHtml $true
} else {
$errors += "Le rôle '$roleDefinitionName' existe toujours pour l'utilisateur '$userPrincipalName' après une tentative de suppression."
}

} } catch {
$errors += "Échec de la suppression du rôle '$roleDefinitionName' de l'utilisateur '$userPrincipalName' : $_"
}

}

if ($errors) {
$errorMessageHtml = "<h2>Problèmes détectés lors de la suppression d'un rôle dans Azure</h2><ul>"
foreach ($errorItem in $errors) {
$errorMessageHtml += "<li>$errorItem</li>"
}
$errorMessageHtml += "</ul>$signature"
  Send-Email -subject "Azure Role Removal Issues" -body $errorMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com"-isBodyHtml $true

} 

5. Attribuez au compte d'automatisation le rôle d'administrateur d'accès utilisateur par abonnement.

a. Pour que le script PowerShell puisse être exécuté, le compte d'automatisation doit avoir le rôle d'administrateur d'accès utilisateur.
b. Ajouter un rôle dans chaque abonnement où vous souhaitez que l'accès élevé soit demandé.
c. Dans la section Rôle, sélectionnez Accès utilisateur Administrateur puis cliquez sur Suivant.