Azure Resource Elevated Role Requests automatiseren met Power Automate en Azure Automation

param (
[Parameter(Verplicht = $true)]
[string] $subscriptionId,
[Parameter(Verplicht = $true)]
[string] $resourceGroupName,
[Parameter(Verplicht = $true)]
[string] $resourceName,
[Parameter(Verplicht = $true)]
[string] $resourceType,
[Parameter(Verplicht = $true)]
[string] $userPrincipalName,
[Parameter(Verplicht = $false)]
[string] $linkUrl
)

$ErrorActionPreference = "Doorgaan".
$errors = @()
functie Send-Email($subject, $body, $to, $cc = $null, $isBodyHtml = $false) {
$credential = Get-AutomationPSCredential -Name 'SMTP Relay'.
$smtpServer = smtp.example.com
$smtpPort = <Int32>
$van = "example@examplecompany.com
$mailParams = @{
Naar = $to
Onderwerp = $subject
Lichaam = $body
SmtpServer = $smtpServer
Wachtwoord = $cijfer
Poort = $smtpPort
UseSsl = $true
Van = $from
BodyAsHtml = $isBodyHtml
}
if ($cc) {
$mailParams['Cc'] = $cc
}
Send-MailMessage @mailParams -ErrorAction Stop
}
try {
$connection = Connect-AzAccount -Identity
vangen {
$errors += "Verificatie met Azure via Managed Identity mislukt:$_"
}
try {
Set-AzContext -SubscriptionId $subscriptionId
} vangst {
$errors += "Faalde om Azure abonnement context in te stellen:$_"
}
$roleDefinitionName = 'Contributor'.
$readerRoleDefinitionName = 'Lezer'.
probeer {
$user = Get-AzADUser -UserPrincipalName $userPrincipalName -ErrorAction Stop
} vangst {
$errors += "Mislukt bij het ophalen van gebruikersobject voor UPN '$userPrincipalName': $_"
}
# Controleer of de gebruiker de rol Lezer heeft op abonnementsniveau
$readerRoleAssignment = Get-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $readerRoleDefinitionName -Scope "/subscriptions/$subscriptionId" -ErrorAction SilentlyContinue
if (-not $readerRoleAssignment) {
    $noReaderRoleHtml = @"
    <h2>Niet in rol van lezer</h2>

<p>Gebruiker <strong>$userPrincipalName</strong> heeft niet de <strong>$readerRoleDefinitionName</strong> rol op abonnementsniveau en kan niet worden toegevoegd aan de <strong>$roleDefinitionName</strong> rol voor de bron.</p>
"@
    $noReaderRoleHtml += $signature
  Send-Email -subject "Ontbrekende lezersrol" -body $noReaderRoleHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true
    terugkeren
}

# Controleer of de resource groep bestaat
$resourceGroupExists = $true
$resourceGroup = Get-AzResourceGroup -Name $resourceGroupName -ErrorAction SilentlyContinue
if (-not $resourceGroup) {
    $errors += "Resourcegroep '$resourceGroupName' bestaat niet."
    $resourceGroupExists = $false
}

# Controleer of de resource bestaat binnen de resource groep
  $domain = "uwdomein.onmicrosoft.com" # vervang dit door uw werkelijke AAD-huurdomein

# Controleer of de resource bestaat binnen de resource groep door zowel de naam als het type te gebruiken
$resourceExists = $false
$resourceUrl = ""
Als ($resourceGroupExists) {
    $resources = Get-AzResource -ResourceGroupName $resourceGroupName -ResourceType $resourceType -Name $resourceName -ErrorAction SilentlyContinue
    $resource = $resources | Where-Object { $_.ResourceType -eq $resourceType -en $_.Name -eq $resourceName }
    if ($resource) {
        $resourceExists = $true
        # Construeer de URL met behulp van het domein, de resourcegroep, het resource-type en de resourcenaam
        $resourceUrl = "https://portal.azure.com/#@$domain/resourcegroups/$resourceGroupName/providers/$($resource.ResourceType)/$resourceName".
    } else {
        $errors += "Resource van het type '$resourceType' met naam '$resourceName' bestaat niet in resourcegroep '$resourceGroupName'."
    }
}

# Toekenning rol alleen proberen als resourcegroep en resource bestaan
if ($resourceGroupExists -en $resourceExists) {
    probeer {
        $roleAssignment = New-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -ErrorAction Stop
    } vangst {
        if ($_.Exception -match 'Conflict') {
            # Gebruiker heeft al de rol Contributor, stuur een specifieke e-mail
            $alreadyContributorHtml = @".
<h2>Gebruiker die al bijdraagt</h2> 

            <p>Gebruiker<strong>$userPrincipalName</strong>heeft al de<strong>$roleDefinitionName</strong>rol voor bron<strong>1TP57BronNaam</strong>.</p> 

            <p>URL bron:<a href='$linkUrl'>$linkUrl</a></p>

"@

$alreadyContributorHtml += $signature

  Send-Email -subject "Gebruiker heeft al Contributor rol" -body $alreadyContributorHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $rue

} else {

$errors += "Kan rol '$roleDefinitionName' niet toewijzen aan gebruiker '$userPrincipalName': $_"

}

}

}

$signature = @" 

<p>Vriendelijke groeten,</p> 

<p><strong>Je IT-team</strong></p>

<p><em>Dit is een automatisch bericht. Beantwoord deze e-mail niet rechtstreeks.</em></p> 

"@

if ($errors) {

$errorMessageHtml = "<h2>Problemen ontdekt bij Azure Role Assignment</h2><ul>"

foreach ($errorItem in $errors) {

$errorMessageHtml += "<li>$errorItem</li>"

}

$errorMessageHtml += "</ul>$signature".

  Send-Email -subject "Azure Role Assignment Issues" -body $errorMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $rue

} elseif ($roleAssignment) {

# Toekenning rol is gelukt, stuur een succesmail

$successMessageHtml = @".<h2>Succesvolle rolverdeling</h2> 

    <p>Gebruiker<strong>$userPrincipalName</strong>werd met succes de<strong>$roleDefinitionName</strong>rol voor bron<strong>1TP57BronNaam</strong>.</p> 

    <p>URL bron:<a href='$linkUrl'>$linkUrl</a></p>

"@

$successMessageHtml += $signature

  Send-Email -subject "Azure Role Assignment Success" -body $successMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $rue

}

  param (
[Parameter(Verplicht = $true)]
[string] $subscriptionId,
[Parameter(Verplicht = $true)]
[string] $resourceGroupName,
[Parameter(Verplicht = $true)]
[string] $resourceName,
[Parameter(Verplicht = $true)]
[string] $resourceType,
[Parameter(Verplicht = $true)]
[string] $userPrincipalName,
[Parameter(Verplicht = $false)]
[string] $linkUrl
)

$ErrorActionPreference = "Doorgaan".
1TP57Fouten = @()
$signature = @" 

 
<p>Vriendelijke groeten,</p> 
<p><strong>Je IT-team</strong></p> 
<p><em>Dit is een automatisch bericht. Beantwoord deze e-mail niet rechtstreeks.</em></p> 
"@

functie Send-Email($subject, $body, $to, $cc = $null, $isBodyHtml = $false) {

$credential = Get-AutomationPSCredential -Name 'SMTP Relay'.
  $smtpServer = 'smtp.example.com'
  $smtpPort =<int 32>
  $from = 'example@examplecompany.com'
$mailParams = @{
Naar = $to
Onderwerp = $subject
Lichaam = $body
SmtpServer = $smtpServer
Wachtwoord = $cijfer
Poort = $smtpPort
UseSsl = $true
Van = $from
BodyAsHtml = $isBodyHtml
}
if ($cc) {
$mailParams['Cc'] = $cc
}
Send-MailMessage @mailParams -ErrorAction Stop
}

try {
$connection = Connect-AzAccount -Identity
} vangst {
$errors += "Mislukt bij authenticatie met Azure met Managed Identity:$_"
}

try {
Set-AzContext -SubscriptionId $subscriptionId

} vangst {
$errors += "Faalde om Azure abonnement context in te stellen:$_"
}

$roleDefinitionName = 'Contributor'.

probeer {
$user = Get-AzADUser -UserPrincipalName $userPrincipalName -ErrorAction Stop
} vangst {
$errors += "Mislukt bij het ophalen van gebruikersobject voor UPN '$userPrincipalName': $_"
} 

Niet in rol van lezer

# Controleer of de resourcegroep bestaat en haal de resource op
$resourceGroupExists = $resourceExists = $false
Als ((Get-AzResourceGroup -Name $resourceGroupName -ErrorAction SilentlyContinue)) {
$resourceGroupExists = $true
$resources = Get-AzResource -ResourceGroupName $resourceGroupName -ResourceType $resourceType -Name $resourceName -ErrorAction SilentlyContinue
$resource = $resources | Where-Object { $_.ResourceType -eq $resourceType -and $_.Name -eq $resourceName }

if ($resource) {

$resourceExists = $true

} else {
$errors += "Resource van het type '$resourceType' met naam '$resourceName' bestaat niet in resource groep '$resourceGroupName'."
}
} } anders {

$errors += "Hulpbrongroep '$resourceGroupName' bestaat niet."
}

# Proberen de roltoewijzing te verwijderen als resourcegroep en resource bestaan

if ($resourceGroupExists -en $resourceExists) {
try {

$roleAssignments = Get-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -ErrorAction SilentlyContinue

foreach ($roleAssignment in $roleAssignments) {

# Opmerking: Bevestigingsonderdrukking werkt als het cmdlet dit ondersteunt.
Remove-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -Confirm:$false

}

# Controleer of roltoewijzingen succesvol zijn verwijderd
if (-not (Get-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -ErrorAction SilentlyContinue)) {

# Als het verwijderen succesvol is, stuur dan een succes e-mail
$successMessageHtml = @".<h2>Succes met rolverwijdering</h2> 
            <p>Gebruiker<strong>$userPrincipalName</strong>is met succes verwijderd uit de<strong>$roleDefinitionName</strong>rol voor bron<strong>1TP57BronNaam</strong>.</p>
            <p>URL bron:<a href='$linkUrl'>$linkUrl</a></p> 
"@
$successMessageHtml += $signature
  Send-Email -subject "Azure Role Removal Success" -body $successMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com " -isBodyHtml $true
} else {
$errors += "Rol '$roleDefinitionName' bestaat nog steeds voor gebruiker '$userPrincipalName' na verwijderpoging."
}

} vangst {
$errors += "Faalde om rol '$roleDefinitionName' te verwijderen van gebruiker '$userPrincipalName': $_"
}

}

if ($errors) {
$errorMessageHtml = "<h2>Problemen ontdekt bij het verwijderen van Azure rollen</h2><ul>"
foreach ($errorItem in $errors) {
$errorMessageHtml += "<li>$errorItem</li>"
}
$errorMessageHtml += "</ul>$signature"
  Send-Email -subject "Azure Role Removal Issues" -body $errorMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $rue

}