Power AutomateとAzure AutomationによるAzureリソース昇格ロールリクエストの自動化

param (
[パラメータ(必須 = $true)]。
[文字列] $subscriptionId、
[パラメータ(必須 = $true)]。
[文字列] $resourceGroupName、
パラメータ(必須 = $true)] [文字列] $resourceGroupName
[文字列] $resourceName、
[パラメータ(必須 = $true)]。
[文字列] $resourceType、
パラメータ(必須 = $true)] [string] $userType
[文字列] $userPrincipalName、
パラメータ(必須 = $false)] [string] $userPrincipalName
[文字列] $linkUrl
)

$ErrorActionPreference = "続ける"
$errors = @()
関数 Send-Email($subject, $body, $to, $cc = $null, $isBodyHtml = $false) { $credential = Get-AutomationPSredential -Name 'SMTP Relay'
$credential = Get-AutomationPSCredential -Name 'SMTP Relay'
$smtpServer = $credential = Get-AutomationPSCredential -Name 'SMTP Relay' 「smtp.example.com
$smtpPort=。 <Int32
$from=から 'example@examplecompany.com'
$mailParams = @{ メールパラメータ
宛先 = $to
件名 = $subject
本文 = $body
SmtpServer = $smtpServer
クレデンシャル = $credential
ポート = $smtpPort
UseSsl = $true
差出人 = $from
BodyAsHtml = $isBodyHtml
}
If ($cc) { $mailParams
$mailParams['Cc'] = $cc
}
送信-MailMessage @mailParams -ErrorAction Stop
}
try {
$connection = Connect-AzAccount -Identity
} catch {
$errors += "Managed Identity を使用した Azure との認証に失敗しました：$_"
}
try { { $errors
Set-AzContext -SubscriptionId $subscriptionId
} catch {
$errors += "Azure サブスクリプションコンテキストの設定に失敗しました：$_"
}
$roleDefinitionName = 'Contributor' です。
$readerRoleDefinitionName = 'Reader'
を試してください。
$user = Get-AzADUser -UserPrincipalName $userPrincipalName -ErrorAction Stop
} catch { $errors
$errors += "UPN '$userPrincipalName' のユーザーオブジェクトの取得に失敗しました。
}
# サブスクリプションレベルで、ユーザがリーダーロールを持っているかチェックします。
$readerRoleAssignment = Get-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $readerRoleDefinitionName -Scope "/subscriptions/$subscriptionId" -ErrorAction SilentlyContinue
if (-not $readerRoleAssignment) { -Not $readerRoleAssignment
    $noReaderRoleHtml = @"
    <h2>読者役ではない</h2>

<p>ユーザー <strong>$userPrincipalName</strong> を持たない。 <strong>$readerRoleDefinitionName</strong> サブスクリプション・レベルのロールに追加することはできません。 <strong>$roleDefinitionName</strong> リソースの役割。</p>
"@
    $noReaderRoleHtml += $signature
  Send-Email -subject "Missing Reader Role" -body $noReaderRoleHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true
    戻り値
}

# リソースグループが存在するかチェックする
$resourceGroupExists = $true
$resourceGroup = Get-AzResourceGroup -Name $resourceGroupName -ErrorAction SilentlyContinue
if (-not $resourceGroup) { $errors += 0
    $errors += "リソースグループ '$resourceGroupName' が存在しません。"
    $resourceGroupExists = $false
}

# リソースグループ内にリソースが存在するか確認します。
  $domain = "お名前.onmicrosoft.com" # これを実際のAADテナント・ドメインに置き換えてください。

# 名前とタイプの両方を使用して、リソースグループ内にリソースが存在するかどうかを確認します。
$resourceExists = $false
$resourceUrl = ""
if ($resourceGroupExists) { $resourceGroupExists
    $resources = Get-AzResource -ResourceGroupName $resourceGroupName -ResourceType $resourceType -Name $resourceName -ErrorAction SilentlyContinue
    $resource = $resources | Where-Object { $_.ResourceType -eq $resourceType -and $_.Name -eq $resourceName }.
    if ($resource) { $resourceExists
        $resourceExists = $true
        # ドメイン、リソースグループ、リソースタイプ、リソース名を使用して URL を構築します。
        $resourceUrl = "https://portal.azure.com/#@$domain/resourcegroups/$resourceGroupName/providers/$($resource.ResourceType)/$resourceName"
    } else {
        $errors += "タイプ '$resourceType' で名前 '$resourceName' のリソースがリソースグループ '$resourceGroupName' に存在しません。"
    }
}

# リソースグループとリソースが存在する場合のみ、ロールの割り当てを試みる
if ($resourceGroupExists -and $resourceExists) { $resourceExists
    tryする{ {。
        $roleAssignment = New-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -ErrorAction Stop。
    をキャッチします。
        if ($_.Exception -match 'Conflict') { $_.Exception
            #ユーザーは既にContributorロールを持っています。
            $alreadyContributorHtml = @"
<h2>すでに投稿しているユーザー</h2> 

            <p>ユーザー<strong>$userPrincipalName</strong>をすでに持っている。<strong>$roleDefinitionName</strong>リソースの役割<strong>$resourceName</strong>.</p> 

            <p>リソースURL：<a href='$linkUrl'>$linkUrl</a></p>

"@

$alreadyContributorHtml += $signature

  Send-Email -subject "User Already Has Contributor Role" -body $alreadyContributorHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true

} else {

$errors += "ユーザー '$userPrincipalName' へのロール '$roleDefinitionName' の割り当てに失敗しました: $_"

}

}

}

$signature = @" 

<p>よろしく、</p> 

<p><strong>ITチーム</strong></p>

<p><em>これは自動メッセージです。このメールに直接返信しないでください。</em></p> 

"@

もし ($errors) {なら

$errorMessageHtml = "<h2>Azureロールの割り当てで検出された問題</h2><ul>"

foreach ($errorItem in $errors) { { $errorItem in $errors

$errorMessageHtml += "<li>$errorItem</li>"

}

$errorMessageHtml += "</ul>1TP57署名"

  Send-Email -subject "Azure Role Assignment Issues" -body $errorMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true

} elseif ($roleAssignment) { { { { $roleAssignment

# 役割の割り当てに成功しました。

$successMessageHtml = @"<h2>役割分担の成功</h2> 

    <p>ユーザー<strong>$userPrincipalName</strong>の割り当てに成功した。<strong>$roleDefinitionName</strong>リソースの役割<strong>$resourceName</strong>.</p> 

    <p>リソースURL：<a href='$linkUrl'>$linkUrl</a></p>

"@

$successMessageHtml += $signature

  Send-Email -subject "Azure Role Assignment Success" -body $successMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true

}

  param (
[パラメータ(必須 = $true)]。
[文字列] $subscriptionId、
[パラメータ(必須 = $true)]。
[文字列] $resourceGroupName、
パラメータ(必須 = $true)] [文字列] $resourceGroupName
[文字列] $resourceName、
[パラメータ(必須 = $true)]。
[文字列] $resourceType、
パラメータ(必須 = $true)] [string] $userType
[文字列] $userPrincipalName、
パラメータ(必須 = $false)] [string] $userPrincipalName
[文字列] $linkUrl
)

$ErrorActionPreference = "Continue"
$errors = @()
$signature = @" 

 
<p>よろしく、</p> 
<p><strong>ITチーム</strong></p> 
<p><em>これは自動メッセージです。このメールに直接返信しないでください。</em></p> 
"@

function Send-Email($subject, $body, $to, $cc = $null, $isBodyHtml = $false) {.

$credential = Get-AutomationPSCredential -Name 'SMTP Relay'
  $smtpServer = 'smtp.example.com'
  $smtpPort=。<int 32>
  $from = 'example@examplecompany.com'
$mailParams = @{ メールパラメータ
宛先 = $to
件名 = $subject
本文 = $body
SmtpServer = $smtpServer
クレデンシャル = $credential
ポート = $smtpPort
UseSsl = $true
差出人 = $from
BodyAsHtml = $isBodyHtml
}
If ($cc) { $mailParams
$mailParams['Cc'] = $cc
}
送信-MailMessage @mailParams -ErrorAction Stop
}

try {
$connection = Connect-AzAccount -Identity
} catch {
$errors += "Managed Identity を使用した Azure との認証に失敗しました：$_"
}

try { 以下のコマンドを実行する。
Set-AzContext -SubscriptionId $subscriptionId

} catch {
$errors += "Azure サブスクリプション コンテキストの設定に失敗しました：$_"
}

$roleDefinitionName = 'Contributor' です。

を試す。
$user = Get-AzADUser -UserPrincipalName $userPrincipalName -ErrorAction Stop
} catch { $errors
$errors += "UPN '$userPrincipalName' のユーザーオブジェクトの取得に失敗しました。
} 

読者役ではない

リソースグループが存在するか確認し、リソースを取得する。
$resourceGroupExists = $resourceExists = $false
if ((Get-AzResourceGroup -Name $resourceGroupName -ErrorAction SilentlyContinue)) { $resourceGroupExists = $false
$resourceGroupExists = $true
$resources = Get-AzResource -ResourceGroupName $resourceGroupName -ResourceType $resourceType -Name $resourceName -ErrorAction SilentlyContinue
$resource = $resources | Where-Object { $_.ResourceType -eq $resourceType -and $_.Name -eq $resourceName }.

もし ($resource) {なら

$resourceExists = $true

} else { $resourceExists = $rue
$errors += "名前'$resourceName'を持つタイプ'$resourceType'のリソースがリソースグループ'$resourceGroupName'に存在しません。"
}
} else {

$errors += "リソースグループ '$resourceGroupName' が存在しません。"
}

# リソースグループとリソースが存在する場合、ロール割り当ての削除を試みる

if ($resourceGroupExists -and $resourceExists) { $resourceExists
を試す。

$roleAssignments = Get-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -ErrorAction SilentlyContinue

foreach ($roleAssignments 内の $roleAssignment) { $roleAssignments 内の

# 注意: 確認の抑制は、コマンドレットがサポートしている場合に機能します。
Remove-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -Confirm:$false

}

# ロール割り当てが正常に削除されたか確認する
if (-not (Get-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -ErrorAction SilentlyContinue)) {。

# 削除が成功した場合、成功メールを送信します。
$successMessageHtml = @"<h2>役割除去の成功</h2> 
            <p>ユーザー<strong>$userPrincipalName</strong>からの削除に成功した。<strong>$roleDefinitionName</strong>リソースの役割<strong>$resourceName</strong>.</p>
            <p>リソースURL：<a href='$linkUrl'>$linkUrl</a></p> 
"@
$successMessageHtml += $signature
  Send-Email -subject "Azure Role Removal Success" -body $successMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com " -isBodyHtml $true
} else {
$errors += "ロール '$roleDefinitionName' は、削除を試みた後も、ユーザ '$userPrincipalName' に存在します。"
}

} catch {
$errors += "ユーザー '$userPrincipalName' からのロール '$roleDefinitionName' の削除に失敗しました: $_"
}

}

if ($errors) { { $errorMessage
$errorMessageHtml = "<h2>Azureロールの削除で検出された問題</h2><ul>"
foreach ($errors 内の $errorItem) { $errorMessageHtml +=
$errorMessageHtml += "<li>$errorItem</li>"
}
$errorMessageHtml += "</ul>$signature"
  Send-Email -subject "Azure Role Removal Issues" -body $errorMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true

}