Azure Automation verbinden

Diese Anleitung beschreibt den Onboarding-Prozess für neue und bestehende Automation Accounts.

Überblick

Um RealmJoin Portal in die Lage zu versetzen, Runbooks zur Automatisierung täglicher Aufgaben bereitzustellen, müssen Sie ein Azure Automation Konto verbinden. Dieses Automation-Konto fungiert als Host für Ihre Runbooks und stellt die Berechtigungen bereit, die erforderlich sind, damit die Runbooks in Ihrer Umgebung funktionieren.

Überlegungen

Die verwaltene Identität des Automation-Kontos erfordert weitreichende Berechtigungen in Ihrer Umgebung, wie die Möglichkeit, Gruppen- oder Benutzerobjekte in Entra ID zu ändern oder Postfächer in Exchange Online zu verwalten. Beschränken Sie den administrativen Zugriff auf dieses Konto, um Missbrauch dieser Privilegien zu verhindern.

Wenn Sie ein vorhandenes Automation-Konto verwenden, beachten Sie, dass RealmJoin Portal automatisch Runbooks erstellt, aktualisiert und entfernt, die aus dem gemeinsamen Online-Repository der Runbooksstammen. Diese Funktionalität wird in einem bestehenden Automation-Konto möglicherweise nicht unterstützt. Wenn Sie unsicher sind, empfehlen wir, ein dediziertes Azure Automation-Konto für RealmJoin Runbooks zu erstellen.

Voraussetzungen

• Globaler Administrator (Global Administrator) Rechte

• Zugriff auf PowerShell mit dem Az Modul oder AZ CLI

• Contributor-Berechtigungen für ein Azure-Abonnement

• Anforderungen an Runbooks

Anweisungen

1

Erstellen eines Azure Automation-Kontos

1. Navigieren Sie zu Ihrem Azure-Portal > Automation Accounts

2. Erstellen Sie ein neues Automation-Konto

3. Wählen Sie im Tab "Basics" Ihr gewünschtes Abonnement, die Ressourcengruppe, den Namen des Automation-Kontos und die Region aus

   

Eine separate Ressourcengruppe für Ihr Automation-Konto wird empfohlen

1. Stellen Sie im Tab "Advanced" sicher, dass die systemzugewiesene verwaltete Identität aktiviert ist

   

2. Wählen Sie "Review + Create" und erstellen Sie Ihr Automation-Konto

3. Navigieren Sie zur Ressourcengruppe, die Ihr Azure Automation-Konto enthält

4. Weisen Sie im Tab "IAM" dem Azure Automation-Konto die Rolle "Contributor" zu

2

Zuweisen von Berechtigungen an das Azure Automation-Konto

Die gemeinsamen RealmJoin-Runbooks verwenden die systemzugewiesene verwaltete Identität von Azure Automation, um mit Entra ID, der MS Graph API usw. zu interagieren.

Verwaltete Identitätsberechtigungen können derzeit nicht über das Azure-Portal vergeben werden. Verwenden Sie Microsoft Graph oder PowerShell, um diese Berechtigungen zuzuweisen.

1. Laden Sie die folgenden PowerShell-Skripte und JSON-Dateien in denselben Ordner herunter. Das Skript weist das vollständige von RealmJoin benötigte Berechtigungspaket zu. Rollen und Berechtigungen können im Anforderungen Abschnitt überprüft und bei Bedarf in den JSON-Dateien angepasst werden.

GrantAppPermToEntApp.ps1

Unexpected error with integration github-files: Integration is not installed on this space

AssignAzureADRoleToEntApp.ps1

RJvNextPermissions.json

RJvNextRoles.json

1. Notieren Sie die Objekt-ID der verwalteten Identität des Azure Automation-Kontos in Konto-Einstellungen > Identität

   

2. Öffnen Sie ein PowerShell-Fenster.

3. Wechseln Sie in den Ordner, der die heruntergeladenen Dateien enthält

cd c:\temp\myfolder

1. Heben Sie gegebenenfalls die Blockierung der Skripte auf

2. Weisen Sie Ihrem Azure Automation-Konto MS Graph-Berechtigungen mit GrantAppPermToEntApp.ps1 zu und ersetzen Sie xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx durch die Objekt-ID Ihres Automation-Kontos

. .\GrantAppPermToEntApp.ps1 -enterpriseAppObjId "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" -permissionsTemplate .\RJvNextPermissions.json

1. Weisen Sie Ihrem Azure Automation-Konto Entra ID Administratorrollen mit AssignAzureADRoleToEntApp.ps1 zu und ersetzen Sie xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx durch die Objekt-ID Ihres Automation-Kontos

. .\AssignAzureADRoleToEntApp.ps1 -objectId "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" -rolesTemplate .\RJvNextRoles.json

1. Das Azure Automation-Konto sollte nun die richtigen Berechtigungen haben, um Runbooks auszuführen

3

RealmJoin Runbook-Konfiguration - Teil 1

1. Gehen Sie im RealmJoin Portal zu 'Einstellungen -> Runbooks'.

   
2. Füllen Sie die Tenant-ID, Subscription-ID und den Namen der Ressourcengruppe aus, zu der das Azure Automation-Konto gehört Die Tenant-ID auf der Entra ID Übersichtsseite

   
3. Kopieren Sie das Script in rot darunter ResourceGroup. Dieses Skript erstellt einen Dienstprinzipal in Entra ID mit Zugriff auf Ihr Automation-Konto, sodass RealmJoin Runbooks verwalten, ausführen und überwachen kann. Das Skript wird basierend auf den Eingaben für Tenant-ID, Subscription-ID und Ressourcengruppe aktualisiert.

   
4. Lassen Sie den Assistenten vorerst geöffnet. Wir kehren gleich in Teil 2 zurück.

4

Zugriffsgewährung für RealmJoin auf Azure Automation

Sie können Azure CloudShellverwenden, sodass Sie keine lokale Installation und Authentifizierung der AZ CLI benötigen.

1. Führen Sie das zuvor kopierte Skript in PowerShell aus.

   

2. Notieren Sie die Werte für appId und password. Die App-Registrierung "RealmJoin Runbook Management" wird erstellt.

   

   App-Registrierungen im Azure-Portal

5

RealmJoin Runbook-Konfiguration - Teil 2

1. Kehren Sie im RealmJoin Portal zum geöffneten Fenster/Assistenten für 'Einstellungen -> Runbooks'

2. Füllen Sie die fehlenden Werte für appId und password aus, die im letzten Schritt erstellt wurden

3. Geben Sie den Namen des zuvor erstellten Automation-Kontos ein zuvor

4. Wählen Sie den Branch des gemeinsamen Runbook-Repositories, dem Sie folgen möchten. Wenn Sie unsicher sind, wählen Sie bitte production Alle Runbook-Branches können hier eingesehen werden: https://github.com/realmjoin/realmjoin-runbooks

5. Wählen Sie denselben Standort wie Ihr Azure Automation-Konto, um sicherzustellen, dass Ihre Runbooks in der richtigen Azure-Region

Automation-Konto-Verbindung im RealmJoin Portal

1. Drücken Sie "Speichern", um den anfänglichen Import der Runbooks zu starten. Bitte lassen Sie dieses Fenster geöffnet, bis Sie die Meldung "Synchronisierung abgeschlossen" sehen.