Автоматизация запросов на повышение ролей ресурсов Azure с помощью Power Automate и Azure Automation

param (
[Parameter(Mandatory = $true)]
[string] $subscriptionId,
[Parameter(Mandatory = $true)]
[string] $resourceGroupName,
[Parameter(Mandatory = $true)]
[string] $resourceName,
[Parameter(Mandatory = $true)]
[string] $resourceType,
[Parameter(Mandatory = $true)]
[string] $userPrincipalName,
[Parameter(Mandatory = $false)]
[string] $linkUrl
)

$ErrorActionPreference = "Продолжить"
$errors = @()
function Send-Email($subject, $body, $to, $cc = $null, $isBodyHtml = $false) {
$credential = Get-AutomationPSCredential -Name 'SMTP Relay'
$smtpServer = 'smtp.example.com'
$smtpPort = <Int32>
$from = 'example@examplecompany.com'
$mailParams = @{
Кому = $to
Тема = $subject
Тело = $body
SmtpServer = $smtpServer
Учетная запись = $credential
Порт = $smtpPort
UseSsl = $true
From = $from
BodyAsHtml = $isBodyHtml
}
if ($cc) {
$mailParams['Cc'] = $cc
}
Send-MailMessage @mailParams -ErrorAction Stop
}
try {
$connection = Connect-AzAccount -Identity
} catch {
$errors += "Не удалось пройти аутентификацию в Azure с помощью Managed Identity:$_"
}
try {
Set-AzContext -SubscriptionId $subscriptionId
} catch {
$errors += "Не удалось установить контекст подписки Azure:$_"
}
$roleDefinitionName = 'Contributor'
$readerRoleDefinitionName = 'Reader'
попробуйте {
$user = Get-AzADUser -UserPrincipalName $userPrincipalName -ErrorAction Stop
} catch {
$errors += "Failed to retrieve user object for UPN '$userPrincipalName': $_"
}
# Проверка наличия у пользователя роли читателя на уровне подписки
$readerRoleAssignment = Get-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $readerRoleDefinitionName -Scope "/subscriptions/$subscriptionId" -ErrorAction SilentlyContinue
if (-not $readerRoleAssignment) {
    $noReaderRoleHtml = @"
    <h2>Не в роли читателя</h2>

<p>Пользователь <strong>$userPrincipalName</strong> не имеет <strong>$readerRoleDefinitionName</strong> роль на уровне подписки и не может быть добавлена в <strong>$roleDefinitionName</strong> роль для ресурса.</p>
"@
    $noReaderRoleHtml += $signature
  Send-Email -subject "Missing Reader Role" -body $noReaderRoleHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true
    вернуть
}

# Проверьте, существует ли группа ресурсов
$resourceGroupExists = $true
$resourceGroup = Get-AzResourceGroup -Name $resourceGroupName -ErrorAction SilentlyContinue
if (-not $resourceGroup) {
    $errors += "Группа ресурсов '$resourceGroupName' не существует."
    $resourceGroupExists = $false
}

# Проверьте, существует ли ресурс в группе ресурсов
  $domain = "yourdomain.onmicrosoft.com" # замените это на ваш фактический домен арендатора AAD

# Проверьте, существует ли ресурс в группе ресурсов, используя имя и тип
$resourceExists = $false
$resourceUrl = ""
if ($resourceGroupExists) {
    $resources = Get-AzResource -ResourceGroupName $resourceGroupName -ResourceType $resourceType -Name $resourceName -ErrorAction SilentlyContinue
    $resource = $resources | Where-Object { $_.ResourceType -eq $resourceType -and $_.Name -eq $resourceName }
    if ($resource) {
        $resourceExists = $true
        # Создайте URL, используя домен, группу ресурсов, тип ресурса и имя ресурса
        $resourceUrl = "https://portal.azure.com/#@$domain/resourcegroups/$resourceGroupName/providers/$($resource.ResourceType)/$resourceName"
    } else {
        $errors += "Ресурс типа '$resourceType' с именем '$resourceName' не существует в группе ресурсов '$resourceGroupName'."
    }
}

# Попытка назначения роли только при наличии группы ресурсов и ресурса
if ($resourceGroupExists -and $resourceExists) {
    try {
        $roleAssignment = New-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -ErrorAction Stop
    } catch {
        if ($_.Exception -match 'Conflict') {
            # Пользователь уже имеет роль Contributor, отправьте конкретное письмо
            $alreadyContributorHtml = @"
<h2>Пользователь уже внес вклад</h2> 

            <p>Пользователь<strong>$userPrincipalName</strong>уже имеет<strong>$roleDefinitionName</strong>роль для ресурса<strong>$resourceName</strong>.</p> 

            <p>URL ресурса:<a href='$linkUrl'>$linkUrl</a></p>

"@

$alreadyContributorHtml += $signature

  Send-Email -subject "User Already Has Contributor Role" -body $alreadyContributorHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true

} else {

$errors += "Не удалось назначить роль '$roleDefinitionName' пользователю '$userPrincipalName': $_"

}

}

}

$signature = @" 

<p>С наилучшими пожеланиями,</p> 

<p><strong>Ваша команда ИТ-специалистов</strong></p>

<p><em>Это автоматическое сообщение, пожалуйста, не отвечайте на него напрямую.</em></p> 

"@

if ($errors) {

$errorMessageHtml = "<h2>Обнаружены проблемы при назначении ролей в Azure</h2><ul>"

foreach ($errorItem в $errors) {

$errorMessageHtml += "<li>$errorItem</li>"

}

$errorMessageHtml += "</ul>$signature"

  Send-Email -subject "Azure Role Assignment Issues" -body $errorMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true

} elseif ($roleAssignment) {

# Назначение роли прошло успешно, отправьте письмо об успехе

$successMessageHtml = @"<h2>Успешное распределение ролей</h2> 

    <p>Пользователь<strong>$userPrincipalName</strong>был успешно присвоен<strong>$roleDefinitionName</strong>роль для ресурса<strong>$resourceName</strong>.</p> 

    <p>URL ресурса:<a href='$linkUrl'>$linkUrl</a></p>

"@

$successMessageHtml += $signature

  Send-Email -subject "Azure Role Assignment Success" -body $successMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true

}

  param (
[Parameter(Mandatory = $true)]
[string] $subscriptionId,
[Parameter(Mandatory = $true)]
[string] $resourceGroupName,
[Parameter(Mandatory = $true)]
[string] $resourceName,
[Parameter(Mandatory = $true)]
[string] $resourceType,
[Parameter(Mandatory = $true)]
[string] $userPrincipalName,
[Parameter(Mandatory = $false)]
[string] $linkUrl
)

$ErrorActionPreference = "Продолжить"
$errors = @()
$signature = @" 

 
<p>С наилучшими пожеланиями,</p> 
<p><strong>Ваша команда ИТ-специалистов</strong></p> 
<p><em>Это автоматическое сообщение, пожалуйста, не отвечайте на него напрямую.</em></p> 
"@

function Send-Email($subject, $body, $to, $cc = $null, $isBodyHtml = $false) {

$credential = Get-AutomationPSCredential -Name 'SMTP Relay'
  $smtpServer = 'smtp.example.com'
  $smtpPort =<int 32>
  $from = 'example@examplecompany.com'
$mailParams = @{
Кому = $to
Тема = $subject
Тело = $body
SmtpServer = $smtpServer
Учетная запись = $credential
Порт = $smtpPort
UseSsl = $true
From = $from
BodyAsHtml = $isBodyHtml
}
if ($cc) {
$mailParams['Cc'] = $cc
}
Send-MailMessage @mailParams -ErrorAction Stop
}

try {
$connection = Connect-AzAccount -Identity
} catch {
$errors += "Не удалось пройти аутентификацию в Azure с помощью Managed Identity:$_"
}

try {
Set-AzContext -SubscriptionId $subscriptionId

} catch {
$errors += "Не удалось установить контекст подписки Azure:$_"
}

$roleDefinitionName = 'Contributor'

попробуйте {
$user = Get-AzADUser -UserPrincipalName $userPrincipalName -ErrorAction Stop
} catch {
$errors += "Failed to retrieve user object for UPN '$userPrincipalName': $_"
} 

Не в роли читателя

# Проверьте, существует ли группа ресурсов, и получите ресурс
$resourceGroupExists = $resourceExists = $false
если ((Get-AzResourceGroup -Name $resourceGroupName -ErrorAction SilentlyContinue)) {
$resourceGroupExists = $true
$resources = Get-AzResource -ResourceGroupName $resourceGroupName -ResourceType $resourceType -Name $resourceName -ErrorAction SilentlyContinue
$resource = $resources | Where-Object { $_.ResourceType -eq $resourceType -and $_.Name -eq $resourceName }

if ($resource) {

$resourceExists = $true

} else {
$errors += "Ресурс типа '$resourceType' с именем '$resourceName' не существует в группе ресурсов '$resourceGroupName'."
}
} else {

$errors += "Группа ресурсов '$resourceGroupName' не существует."
}

# Попытка удалить назначение роли, если группа ресурсов и ресурс существуют

if ($resourceGroupExists -and $resourceExists) {
try {

$roleAssignments = Get-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -ErrorAction SilentlyContinue

foreach ($roleAssignment in $roleAssignments) {

# Примечание: Подавление подтверждения будет работать, если команда поддерживает его.
Remove-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -Confirm:$false

}

# Проверьте, успешно ли удалены назначения ролей
if (-not (Get-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -ErrorAction SilentlyContinue)) {

# Если удаление прошло успешно, отправьте сообщение об успехе
$successMessageHtml = @"<h2>Удаление ролей Успех</h2> 
            <p>Пользователь<strong>$userPrincipalName</strong>был успешно удален из<strong>$roleDefinitionName</strong>роль для ресурса<strong>$resourceName</strong>.</p>
            <p>URL ресурса:<a href='$linkUrl'>$linkUrl</a></p> 
"@
$successMessageHtml += $signature
  Send-Email -subject "Azure Role Removal Success" -body $successMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com " -isBodyHtml $true
} else {
$errors += "Роль '$roleDefinitionName' все еще существует для пользователя '$userPrincipalName' после попытки удаления."
}

} catch {
$errors += "Не удалось удалить роль '$roleDefinitionName' у пользователя '$userPrincipalName': $_"
}

}

if ($errors) {
$errorMessageHtml = "<h2>Проблемы, обнаруженные при удалении ролей Azure</h2><ul>"
foreach ($errorItem in $errors) {
$errorMessageHtml += "<li>$errorItem</li>"
}
$errorMessageHtml += "</ul>$signature"
  Send-Email -subject "Azure Role Removal Issues" -body $errorMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true

}