使用 Power Automate 和 Azure Automation 自动处理 Azure 资源提升角色请求

参数 (     [参数(强制 = $true)]     [字符串] $订阅ID,
    [Parameter(Mandatory=true)] [string] 资源组名称,
    [Parameter(Mandatory=true)] [string] resourceName,
    [Parameter(Mandatory = true)]     [string] $resourceType,     [Parameter(Mandatory = true)]
    [string] $用户主名称,     [Parameter(Mandatory = $false)]     [string] $链接网址 )

$错误处理偏好 = "继续" $错误 = @()
function Send-Email($subject, $body, $to, $cc = $null, $isBodyHtml = $false) {
    $凭据 = Get-AutomationPSCredential -Name 'SMTP 中继'     $smtp服务器 =  smtp.example.com
    $smtpPort =  <Int32>
    $from =  'example@examplecompany.com'
$mailParams = @{
收件人 = $to
主题 = $subject
正文 = $body
SmtpServer = $smtpServer
凭证 = $credential
端口 = $smtpPort
UseSsl = $true
发件人 = $from
BodyAsHtml = $isBodyHtml
}
如果 ($cc) {
$mailParams['Cc'] = $cc
}
Send-MailMessage @mailParams -ErrorAction Stop
}
try {
$connection = Connect-AzAccount -Identity
} catch {
$errors += "使用托管身份验证 Azure 失败：$_"
}
try {
Set-AzContext -SubscriptionId $subscriptionId
} catch {
$errors += "设置 Azure 订阅上下文失败：$_"
}
$roleDefinitionName = "Contributor
$readerRoleDefinitionName = "读者
try {
$user = Get-AzADUser -UserPrincipalName $userPrincipalName -ErrorAction Stop
} catch {
$errors += "检索 UPN '$userPrincipalName' 的用户对象失败：$_"
}
# 检查用户是否具有订阅级别的阅读器角色
$readerRoleAssignment = Get-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $readerRoleDefinitionName -Scope "/subscriptions/$subscriptionId" -ErrorAction SilentlyContinue
如果 (-not $readerRoleAssignment) {
    $noReaderRoleHtml = @"
    <h2>不担任读者角色</h2>

<p>用户 <strong>$userPrincipalName</strong> 没有 <strong>$readerRoleDefinitionName 角色定义名称</strong> 角色，并且不能添加到 <strong>$roleDefinitionName</strong> 资源的作用。</p>
"@
    $noReaderRoleHtml += $signature
  Send-Email -subject "Missing Reader Role" -body $noReaderRoleHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true
    返回
}

# 检查资源组是否存在
$resourceGroupExists = $true
$resourceGroup = Get-AzResourceGroup -Name $resourceGroupName -ErrorAction SilentlyContinue
如果 (-not $resourceGroup) {
    $errors += "资源组 '$resourceGroupName' 不存在"。
    $resourceGroupExists = $false
}

# 检查资源是否存在于资源组中
  $domain = "yourdomain.onmicrosoft.com" # 将其替换为实际的 AAD 租户域

# 使用名称和类型检查资源是否存在于资源组中
$resourceExists = $false
$resourceUrl = ""
如果 ($resourceGroupExists) {
    $resources = Get-AzResource -ResourceGroupName $resourceGroupName -ResourceType $resourceType -Name $resourceName -ErrorAction SilentlyContinue
    $resource = $resources | Where-Object { $_.ResourceType -eq $resourceType -and $_.Name -eq $resourceName }
    如果 ($resource) {
        $resourceExists = $true
        # 使用域、资源组、资源类型和资源名称构建 URL
        $resourceUrl = "https://portal.azure.com/#@$domain/resourcegroups/$resourceGroupName/providers/$($resource.ResourceType)/$resourceName" } 否则
    } else {
        $errors += "名称为'$resourceName'、类型为'$resourceType'的资源不存在于资源组'$resourceGroupName'中"。
    }
}

# 仅当资源组和资源存在时才尝试角色分配
如果 ($resourceGroupExists -and $resourceExists) {
    try {
        $roleAssignment = New-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -ErrorAction Stop
    } catch {
        如果 ($_.Exception -match 'Conflict') {
            # 用户已拥有贡献者角色，发送特定电子邮件
            $alreadyContributorHtml = @"
<h2>用户已是贡献者</h2> 

            <p>用户<strong>$userPrincipalName</strong>已经拥有<strong>$roleDefinitionName</strong>资源的作用<strong>$resourceName</strong>.</p> 

            <p>资源 URL：<a>$linkUrl</a></p>

"@

$alreadyContributorHtml += $signature

  Send-Email -subject "User Already Has Contributor Role" -body $alreadyContributorHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true

} else {

$errors += "向用户'$userPrincipalName'分配角色'$roleDefinitionName'失败：$_"

}

}

}

$signature = @" 

<p>致以最崇高的敬意</p> 

<p><strong>您的 IT 团队</strong></p>

<p><em>这是一封自动发送的邮件，请不要直接回复此邮件。</em></p> 

"@

如果 ($errors) {

$errorMessageHtml = "<h2>在 Azure 角色分配中检测到的问题</h2><ul>"

foreach ($errors 中的 $errorItem) {

$errorMessageHtml += "<li>$errorItem</li>"

}

$errorMessageHtml += "</ul>$signature"

  Send-Email -subject "Azure 角色分配问题" -body $errorMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true

} elseif ($roleAssignment) {

# 角色分配成功，发送成功电子邮件

$successMessageHtml = @"<h2>角色分配成功</h2> 

    <p>用户<strong>$userPrincipalName</strong>成功地分配了<strong>$roleDefinitionName</strong>资源的作用<strong>$resourceName</strong>.</p> 

    <p>资源 URL：<a>$linkUrl</a></p>

"@

$successMessageHtml += $signature

  Send-Email -subject "Azure 角色分配成功" -body $successMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com"-isBodyHtml $true }

  param (     [Parameter(Mandatory = true)]     [string] subscriptionId, 
    [Parameter(Mandatory=true)] [string] 资源组名称, [Parameter(Mandatory=true)] [string] 资源名称, [Parameter(Mandatory=true)] [string] 资源名称, [Parameter(Mandatory=true)] [string] 资源名称, [Parameter(Mandatory=true)] [string] 资源名称, [Parameter(Mandatory=true)] [string] 资源名称, [Parameter(Mandatory=true)] [string] 资源名称, [Parameter(Mandatory=true)] [string] 资源名称, [Parameter(Mandatory=true)] [string] 资源名称, [Parameter(Mandatory=true)] [string] 资源名称, [Parameter(Mandatory=true)] [string] 资源名称, [Parameter(Mandatory=true)] [string] 资源 
    [string] $resourceName,     [Parameter(Mandatory = $true)] 
    [string] $resourceType,     [Parameter(Mandatory = $true)] 
    [string] $用户主名称,     [Parameter(Mandatory = $false)]     [string] $链接网址 ) 

$错误操作偏好 = "继续" $错误 = @() $签名 = @" 

 
<p>致以最崇高的敬意</p> 
<p><strong>您的 IT 团队</strong></p> 
<p><em>这是一封自动发送的邮件，请不要直接回复此邮件。</em></p> 
"@

function Send-Email($subject, $body, $to, $cc = $null, $isBodyHtml = $false) {

$credential = Get-AutomationPSCredential -Name "SMTP Relay
  $smtpServer = ' SMTP 服务器smtp.example.com'$smtpPort = <int 32>
  $from = 'example@examplecompany.com'$mailParams = @{         收件人        = $to 
        主题    = $subject 
        Body       = $body 
        SmtpServer = $smtpServer        Credential = $credential 
        端口       = $smtpPort 
        UseSsl     = $true 
        发件人 = $from 
        BodyAsHtml = $isBodyHtml     } 
    if ($cc) {         $mailParams['Cc'] = $cc     } 
    Send-MailMessage @mailParams -ErrorAction Stop } try {     $connection = Connect-AzAccount -Identity } catch { 
    $errors += "使用托管标识与 Azure 身份验证失败：$_" } 

try {     Set-AzContext -SubscriptionId $subscriptionId } catch { 
    $errors += "设置 Azure 订阅上下文失败：$_" }$roleDefinitionName = 'Contributor' 

try {     $user = Get-AzADUser -UserPrincipalName $userPrincipalName -ErrorAction Stop } catch { 
    $errors += "无法检索用户对象 '$userPrincipalName' 的用户主名称 (UPN)：$_" } 

不担任读者角色

# 检查资源组是否存在并获取资源
$resourceGroupExists = $resourceExists = $false
如果 ((Get-AzResourceGroup -Name $resourceGroupName -ErrorAction SilentlyContinue)) {
$resourceGroupExists = $true
$resources = Get-AzResource -ResourceGroupName $resourceGroupName -ResourceType $resourceType -Name $resourceName -ErrorAction SilentlyContinue
$resource = $resources | Where-Object { $_.ResourceType -eq $resourceType -and $_.Name -eq $resourceName }

如果 ($resource) {

$resourceExists = $true

} else {
$errors += "名称为'$resourceName'、类型为'$resourceType'的资源不存在于资源组'$resourceGroupName'中"。
}
} else {

$errors += "资源组'$resourceGroupName'不存在"。
}

# 如果资源组和资源存在，则尝试删除角色分配

if ($resourceGroupExists -and $resourceExists) {
尝试 {

$roleAssignments = Get-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -ErrorAction SilentlyContinue

foreach ($roleAssignment in $roleAssignments) {

# 注意：如果 cmdlet 支持，则确认抑制将起作用。
Remove-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -Confirm:$false

}

# 检查角色分配是否已成功删除
如果（-not (Get-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -ErrorAction SilentlyContinue)) {

# 如果移除成功，发送成功电子邮件
$successMessageHtml = @"<h2>角色移除成功</h2> 
            <p>用户<strong>$userPrincipalName</strong>已成功从<strong>$roleDefinitionName</strong>资源的作用<strong>$resourceName</strong>.</p>
            <p>资源 URL：<a>$linkUrl</a></p> 
"@
$successMessageHtml += $signature
  Send-Email -subject "Azure 角色移除成功" -body $successMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com " -isBodyHtml $true
} else {
$errors += "删除尝试后，用户'$userPrincipalName'的角色'$roleDefinitionName'仍然存在"。
}

} catch {
$errors += "从用户'$userPrincipalName'移除角色'$roleDefinitionName'失败：$_"
}

}

if ($errors) {
$errorMessageHtml = "<h2>Azure 角色移除过程中检测到的问题</h2><ul>"
foreach ($errors 中的 $errorItem) {
$errorMessageHtml += "<li>$errorItem</li>"
}
$errorMessageHtml += "</ul>$signature"
  Send-Email -subject "Azure 角色移除问题" -body $errorMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com"-isBodyHtml $true }