Anforderungen für die Runbook-Ausführung

Diese Wiki-Seite behandelt, welche Anforderungen und Berechtigungen auf Systemebene bereitgestellt werden müssen, damit Runbooks ausgeführt werden können.

PowerShell-Module

Der Abschnitt PowerShell-Module wird automatisch basierend auf dem öffentlichen Repository.

Die gemeinsam genutzten Runbooks, die auf GitHub erwarten/verwenden die folgenden Windows PowerShell-Module:

Modul	Mindestversion in Runbooks
Az.Accounts	5.5.2
Az.Compute	11.8.0
Az.DesktopVirtualization	6.0.0
Az.ManagementPartner	0.8.0
Az.Storage	9.7.2
ExchangeOnlineManagement	3.9.2
Microsoft.Graph.Authentication	2.39.0
MicrosoftTeams	7.9.0
PnP.PowerShell	3.4.1
RealmJoin.RunbookHelper	0.8.9

Das RealmJoin Portal importiert und installiert diese Module automatisch, wenn sie von innerhalb eines Runbooks referenziert werden. Dieser Import berücksichtigt auch angegebene Mindestversionen für Module.

Berechtigungen

Der Abschnitt Berechtigungen wird automatisch basierend auf dem öffentlichen Repository.

Die gemeinsam genutzten Runbooks von RealmJoin verwenden die von Azure Automation zugewiesene systemseitig verwaltete Identität systemseitig zugewiesene verwaltete Identität um mit Entra ID, MS Graph API usw. zu interagieren.

Die folgende Liste von Rollen und Berechtigungen ermöglicht es Ihnen, alle Runbooks zu verwenden, die derzeit in unserem gemeinsamen Repository verfügbar sind.

Es wird nicht empfohlen, diese Rollen/Berechtigungen zu reduzieren, da die Runbooks nur gegen diesen Satz von Berechtigungen getestet werden. Wenn Sie den Satz von Rollen/Berechtigungen reduzieren, funktionieren einige Runbooks nicht mehr.

Entra ID-Rollen

Bitte weisen Sie der verwalteten Identität die folgenden Entra ID-Rollen zu

• Anwendungsentwickler
• Cloudgeräteadministrator
• Exchange-Administrator
• Intune-Administrator
• Teams-Administrator
• Benutzeradministrator

Graph API-Berechtigungen

Bitte gewähren Sie der verwalteten Identität die folgenden Graph API-Berechtigungen

• Application.ReadWrite.All
• Application.ReadWrite.OwnedBy
• AppRoleAssignment.ReadWrite.All
• AuditLog.Read.All
• BitlockerKey.Read.All
• Channel.ReadBasic.All
• ChannelMember.ReadWrite.All
• CloudPC.ReadWrite.All
• Device.ReadWrite.All
• DeviceLocalCredential.Read.All
• DeviceManagementApps.ReadWrite.All
• DeviceManagementConfiguration.ReadWrite.All
• DeviceManagementManagedDevices.PrivilegedOperations.All
• DeviceManagementManagedDevices.ReadWrite.All
• DeviceManagementServiceConfig.ReadWrite.All
• Directory.ReadWrite.All
• Group.Create
• Group.ReadWrite.All
• GroupMember.ReadWrite.All
• IdentityRiskyUser.ReadWrite.All
• InformationProtectionPolicy.Read.All
• Mail.Send
• Organization.Read.All
• Place.Read.All
• Policy.Read.All
• Reports.Read.All
• ReportSettings.ReadWrite.All
• RoleAssignmentSchedule.Read.Directory
• RoleManagement.Read.All
• RoleManagement.Read.Directory
• ServiceHealth.Read.All
• Sites.Read.All
• Team.Create
• Team.ReadBasic.All
• TeamMember.ReadWrite.All
• TeamSettings.ReadWrite.All
• User.ReadWrite.All
• UserAuthenticationMethod.ReadWrite.All
• WindowsUpdates.ReadWrite.All

Weitere App-API-Berechtigungen

Bitte gewähren Sie der verwalteten Identität die folgenden Office 365 Exchange Online API-Berechtigungen

• Exchange.ManageAsApp

Bitte gewähren Sie der verwalteten Identität die folgenden WindowsDefenderATP API-Berechtigungen

• Machine.Read.All
• Computer.Isolate
• Machine.RestrictExecution
• Ti.ReadWrite.All

Bitte gewähren Sie der verwalteten Identität die folgenden SharePoint API-Berechtigungen

• User.Read.All
• Sites.Read.All
• Sites.FullControl.All

Rollen und Berechtigungen zuweisen

Das Gewähren von Berechtigungen für verwaltete Identitäten kann derzeit nicht über das Azure Portal erfolgen. Wir empfehlen dafür MS Graph-/PowerShell-Skripting.

Set-RJAutomationAccount aus dem RealmJoin PowerShell-Modul — siehe Verbindung mit Azure Automation — weist bereits die API-Berechtigungen zu, die es für Microsoft Graph, Exchange Online, Defender und SharePoint bündelt, wenn es das Automation Account einrichtet oder aktualisiert.

Es nicht weist die Entra ID-Rollen zu, die oben aufgeführt sind, und sein gebündelter Berechtigungssatz wird getrennt von dieser Seite gepflegt, die aus dem Runbooks-Repositorygeneriert wird. Verwenden Sie die folgenden Skripte für die Entra ID-Rollen und um jede API-Berechtigung hinzuzufügen, die ein Runbook benötigt und die das Modul nicht abdeckt.

Ein Beispiel für diesen Prozess finden Sie hierDie JSON-Dateien, die es erwartet, werden in der Runbooks-Repository:

. .\GrantAppPermToEntApp.ps1 -enterpriseAppObjId "<ManagedIdentityObjectId>" -permissionsTemplate .\AllRealmJoinRunbooks_collected_permissions.json
. .\AssignAzureADRoleToEntApp.ps1 -objectId "<ManagedIdentityObjectId>" -rolesTemplate .\AllRealmJoinRunbooks_collected_rbacroles.json

Die Objekt-ID der verwalteten Identität wird im Azure Portal im Automation Account unter Kontoeinstellungen > Identität angezeigt.

Azure-Ressourcenberechtigungen

Bitte gewähren Sie mindestens den Zugriff „Contributor“ auf das Abonnement oder die Ressourcengruppe, die das Azure Automation Account für die Runbooks hostet

Einige Runbooks verwenden ein Azure Storage Account, um Berichte oder Sicherungen zu speichern. Bitte gewähren Sie mindestens den Zugriff „Contributor“ auf das entsprechende Abonnement oder die entsprechende Ressourcengruppe. Die meisten Runbooks können dann die Ressourcen innerhalb der Ressourcengruppe selbst erstellen.

Authentifizierungsmethoden

Verwaltete Identitäten

Azure Automation unterstützt Verwaltete Identitäten (systemzugewiesen) als primären Weg zur Authentifizierung. Dies ersetzt die veralteten RunAs-Konten.

Die RealmJoin Runbooks unterstützen derzeit RunAs-Konten, wenn keine verwaltete Identität konfiguriert ist.

Wenn eine verwaltete Identität und ein RunAs-Konto gleichzeitig konfiguriert sind, bevorzugen die Runbooks aus dem gemeinsamen Repository von RealmJoin bei neueren Versionen unseres unterstützenden RealmJoin.RunbookHelper Moduls ab v0.8.0.

Ältere Versionen des Moduls konnten verwaltete Identitäten nicht vollständig nutzen und bevorzugten das RunAs-Konto.

Bitte stellen Sie sicher, dass Sie der verwalteten Identität die erforderlichen Berechtigungen gewähren oder sie vollständig deaktivieren, um nur das RunAs-Konto zu verwenden.

Clientgeheimnis

Einige private Runbooks benötigen möglicherweise eine Authentifizierung im ClientID/Secret-Stil. Derzeit gibt es keine gemeinsam genutzten Runbooks, die ClientID und Secret erfordern.

Falls erforderlich, können eine ClientID und ein Secret in den verwalteten Anmeldeinformationen mit dem Namen "realmjoin-automation-cred" im Azure Automation Account gespeichert werden.

Derzeit wird "realmjoin-automation-cred" im Automation Account standardmäßig vom RJ-Wizard erstellt, jedoch mit zufälligen Werten befüllt – diese müssten mit den korrekten Werten ausgefüllt werden.