使用 Power Automate 和 Azure Automation 自动处理 Azure 资源提升角色请求

参数 (
[参数（必填 = $true］
[$subscriptionId、
[参数（必填项 = $true］
[string] $resourceGroupName、
[参数(必须的 = $true)] [字符串] $resourceGroupName
[string] $resourceName、
[参数（必选项 = $true］
[$resourceType、
[参数（必选项 = $true］
[string] $userPrincipalName、
[参数（必选项 = $false］
[字符串] $linkUrl
)

$ErrorActionPreference = "Continue" (继续)
$errors = @()
function Send-Email($subject, $body, $to, $cc = $null, $isBodyHtml = $false) {
$credential = Get-AutomationPSCredential -Name "SMTP Relay
$smtpServer = smtp.example.com
$smtpPort = <Int32>
$from = 'example@examplecompany.com'
$mailParams = @{
收件人 = $to
主题 = $subject
正文 = $body
SmtpServer = $smtpServer
凭证 = $credential
端口 = $smtpPort
UseSsl = $true
发件人 = $from
BodyAsHtml = $isBodyHtml
}
如果 ($cc) {
$mailParams['Cc'] = $cc
}
Send-MailMessage @mailParams -ErrorAction Stop
}
try {
$connection = Connect-AzAccount -Identity
} catch {
$errors += "使用托管身份验证 Azure 失败：$_"
}
try {
Set-AzContext -SubscriptionId $subscriptionId
} catch {
$errors += "设置 Azure 订阅上下文失败：$_"
}
$roleDefinitionName = "Contributor
$readerRoleDefinitionName = "读者
try {
$user = Get-AzADUser -UserPrincipalName $userPrincipalName -ErrorAction Stop
} catch {
$errors += "检索 UPN '$userPrincipalName' 的用户对象失败：$_"
}
# 检查用户是否具有订阅级别的阅读器角色
$readerRoleAssignment = Get-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $readerRoleDefinitionName -Scope "/subscriptions/$subscriptionId" -ErrorAction SilentlyContinue
如果 (-not $readerRoleAssignment) {
    $noReaderRoleHtml = @"
    <h2>不担任读者角色</h2>

<p>用户 <strong>$userPrincipalName</strong> 没有 <strong>$readerRoleDefinitionName 角色定义名称</strong> 角色，并且不能添加到 <strong>$roleDefinitionName</strong> 资源的作用。</p>
"@
    $noReaderRoleHtml += $signature
  Send-Email -subject "Missing Reader Role" -body $noReaderRoleHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true
    返回
}

# 检查资源组是否存在
$resourceGroupExists = $true
$resourceGroup = Get-AzResourceGroup -Name $resourceGroupName -ErrorAction SilentlyContinue
如果 (-not $resourceGroup) {
    $errors += "资源组 '$resourceGroupName' 不存在"。
    $resourceGroupExists = $false
}

# 检查资源是否存在于资源组中
  $domain = "yourdomain.onmicrosoft.com" # 将其替换为实际的 AAD 租户域

# 使用名称和类型检查资源是否存在于资源组中
$resourceExists = $false
$resourceUrl = ""
如果 ($resourceGroupExists) {
    $resources = Get-AzResource -ResourceGroupName $resourceGroupName -ResourceType $resourceType -Name $resourceName -ErrorAction SilentlyContinue
    $resource = $resources | Where-Object { $_.ResourceType -eq $resourceType -and $_.Name -eq $resourceName }
    如果 ($resource) {
        $resourceExists = $true
        # 使用域、资源组、资源类型和资源名称构建 URL
        $resourceUrl = "https://portal.azure.com/#@$domain/resourcegroups/$resourceGroupName/providers/$($resource.ResourceType)/$resourceName" } 否则
    } else {
        $errors += "名称为'$resourceName'、类型为'$resourceType'的资源不存在于资源组'$resourceGroupName'中"。
    }
}

# 仅当资源组和资源存在时才尝试角色分配
如果 ($resourceGroupExists -and $resourceExists) {
    try {
        $roleAssignment = New-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -ErrorAction Stop
    } catch {
        如果 ($_.Exception -match 'Conflict') {
            # 用户已拥有贡献者角色，发送特定电子邮件
            $alreadyContributorHtml = @"
<h2>用户已是贡献者</h2> 

            <p>用户<strong>$userPrincipalName</strong>已经拥有<strong>$roleDefinitionName</strong>资源的作用<strong>$resourceName</strong>.</p> 

            <p>资源 URL：<a href='$linkUrl'>$linkUrl</a></p>

"@

$alreadyContributorHtml += $signature

  Send-Email -subject "User Already Has Contributor Role" -body $alreadyContributorHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true

} else {

$errors += "向用户'$userPrincipalName'分配角色'$roleDefinitionName'失败：$_"

}

}

}

$signature = @" 

<p>致以最崇高的敬意</p> 

<p><strong>您的 IT 团队</strong></p>

<p><em>这是一封自动发送的邮件，请不要直接回复此邮件。</em></p> 

"@

如果 ($errors) {

$errorMessageHtml = "<h2>在 Azure 角色分配中检测到的问题</h2><ul>"

foreach ($errors 中的 $errorItem) {

$errorMessageHtml += "<li>$errorItem</li>"

}

$errorMessageHtml += "</ul>$signature"

  Send-Email -subject "Azure 角色分配问题" -body $errorMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true

} elseif ($roleAssignment) {

# 角色分配成功，发送成功电子邮件

$successMessageHtml = @"<h2>角色分配成功</h2> 

    <p>用户<strong>$userPrincipalName</strong>成功地分配了<strong>$roleDefinitionName</strong>资源的作用<strong>$resourceName</strong>.</p> 

    <p>资源 URL：<a href='$linkUrl'>$linkUrl</a></p>

"@

$successMessageHtml += $signature

  Send-Email -subject "Azure 角色分配成功" -body $successMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true

}

  参数 (
[参数（必填 = $true］
[$subscriptionId、
[参数（必填项 = $true］
[string] $resourceGroupName、
[参数(必须的 = $true)] [字符串] $resourceGroupName
[string] $resourceName、
[参数（必选项 = $true］
[$resourceType、
[参数（必选项 = $true］
[string] $userPrincipalName、
[参数（必选项 = $false］
[字符串] $linkUrl
)

$ErrorActionPreference = "Continue" （继续
$errors = @()
$signature = @" 

 
<p>致以最崇高的敬意</p> 
<p><strong>您的 IT 团队</strong></p> 
<p><em>这是一封自动发送的邮件，请不要直接回复此邮件。</em></p> 
"@

function Send-Email($subject, $body, $to, $cc = $null, $isBodyHtml = $false) {

$credential = Get-AutomationPSCredential -Name "SMTP Relay
  $smtpServer = ' SMTP 服务器smtp.example.com'
  $smtpPort =<int 32>
  $from = 'example@examplecompany.com'
$mailParams = @{
收件人 = $to
主题 = $subject
正文 = $body
SmtpServer = $smtpServer
凭证 = $credential
端口 = $smtpPort
UseSsl = $true
发件人 = $from
BodyAsHtml = $isBodyHtml
}
如果 ($cc) {
$mailParams['Cc'] = $cc
}
Send-MailMessage @mailParams -ErrorAction Stop
}

try {
$connection = Connect-AzAccount -Identity
} catch {
$errors += "使用托管身份验证 Azure 失败：$_"
}

try {
Set-AzContext -SubscriptionId $subscriptionId

} catch {
$errors += "设置 Azure 订阅上下文失败：$_"
}

$roleDefinitionName = "Contributor

try {
$user = Get-AzADUser -UserPrincipalName $userPrincipalName -ErrorAction Stop
} catch {
$errors += "检索 UPN '$userPrincipalName' 的用户对象失败：$_"
} 

不担任读者角色

# 检查资源组是否存在并获取资源
$resourceGroupExists = $resourceExists = $false
如果 ((Get-AzResourceGroup -Name $resourceGroupName -ErrorAction SilentlyContinue)) {
$resourceGroupExists = $true
$resources = Get-AzResource -ResourceGroupName $resourceGroupName -ResourceType $resourceType -Name $resourceName -ErrorAction SilentlyContinue
$resource = $resources | Where-Object { $_.ResourceType -eq $resourceType -and $_.Name -eq $resourceName }

如果 ($resource) {

$resourceExists = $true

} else {
$errors += "名称为'$resourceName'、类型为'$resourceType'的资源不存在于资源组'$resourceGroupName'中"。
}
} else {

$errors += "资源组'$resourceGroupName'不存在"。
}

# 如果资源组和资源存在，则尝试删除角色分配

if ($resourceGroupExists -and $resourceExists) {
尝试 {

$roleAssignments = Get-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -ErrorAction SilentlyContinue

foreach ($roleAssignment in $roleAssignments) {

# 注意：如果 cmdlet 支持，则确认抑制将起作用。
Remove-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -Confirm:$false

}

# 检查角色分配是否已成功删除
如果（-not (Get-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -ErrorAction SilentlyContinue)) {

# 如果移除成功，发送成功电子邮件
$successMessageHtml = @"<h2>角色移除成功</h2> 
            <p>用户<strong>$userPrincipalName</strong>已成功从<strong>$roleDefinitionName</strong>资源的作用<strong>$resourceName</strong>.</p>
            <p>资源 URL：<a href='$linkUrl'>$linkUrl</a></p> 
"@
$successMessageHtml += $signature
  Send-Email -subject "Azure 角色移除成功" -body $successMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com " -isBodyHtml $true
} else {
$errors += "删除尝试后，用户'$userPrincipalName'的角色'$roleDefinitionName'仍然存在"。
}

} catch {
$errors += "从用户'$userPrincipalName'移除角色'$roleDefinitionName'失败：$_"
}

}

if ($errors) {
$errorMessageHtml = "<h2>Azure 角色移除过程中检测到的问题</h2><ul>"
foreach ($errors 中的 $errorItem) {
$errorMessageHtml += "<li>$errorItem</li>"
}
$errorMessageHtml += "</ul>$signature"
  Send-Email -subject "Azure 角色移除问题" -body $errorMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true

}