Connexion à Azure Automation

Ce guide décrit le processus d'intégration pour les nouveaux comptes Automation ainsi que pour les comptes existants.

Aperçu

Pour permettre à RealmJoin Portal de fournir runbooks pour automatiser les tâches quotidiennes, vous devez connecter un compte Azure Automation Ce compte Automation agira comme l'hôte de vos runbooks et fournira les autorisations requis pour que les runbooks fonctionnent dans votre environnement.

Considérations

L' identité gérée du compte Automation nécessite des autorisations importantes dans votre environnement, telles que la capacité à modifier des objets de groupe ou d'utilisateur dans Entra ID ou à gérer des boîtes aux lettres dans Exchange Online. Limitez l'accès administratif à ce compte pour prévenir tout abus de ces privilèges.

Lors de l'utilisation d'un compte Automation existant, notez que RealmJoin Portal crée, met à jour et supprime automatiquement les runbooks provenant du référentiel en ligne partagé de runbooks. Cette fonctionnalité peut ne pas être prise en charge dans un compte Automation existant. En cas d'incertitude, nous recommandons de créer un compte Azure Automation dédié pour les runbooks RealmJoin.

Prérequis

• Privilèges d'administrateur global

• Accès à PowerShell avec le module Az ou AZ CLI

• Autorisations de Contributeur sur un abonnement Azure

• Exigences des runbooks

Instructions

1

Créer un compte Azure Automation

1. Accédez à votre Portail Azure > Comptes Automation

2. Créer un nouveau compte Automation

3. Dans l'onglet Informations de base, choisissez l'abonnement, le groupe de ressources, le nom du compte Automation et la région souhaités

   

Un groupe de ressources séparé pour votre compte Automation est recommandé

1. Dans l'onglet Avancé, assurez-vous que l'identité gérée attribuée par le système est activée

   

2. Sélectionnez Vérifier + Créer et créez votre compte Automation

3. Accédez au groupe de ressources contenant votre compte Azure Automation

4. Dans l'onglet IAM, attribuez au compte Azure Automation le rôle de Contributeur

2

Attribuer des autorisations au compte Azure Automation

Les runbooks partagés de RealmJoin utilisent l'identité gérée attribuée par le système d'Azure Automation pour interagir avec Entra ID, l'API MS Graph, etc.

Les autorisations d'identité gérée ne peuvent pas actuellement être accordées via le Portail Azure. Utilisez Microsoft Graph ou PowerShell pour attribuer ces autorisations.

1. Téléchargez les scripts PowerShell et les fichiers JSON suivants dans le même dossier. Le script attribuera l'ensemble complet d'autorisations requis par RealmJoin. Les rôles et autorisations peuvent être consultés dans la section Exigences et ajustés si nécessaire dans les fichiers JSON.

GrantAppPermToEntApp.ps1

Unexpected error with integration github-files: Integration is not installed on this space

AssignAzureADRoleToEntApp.ps1

RJvNextPermissions.json

RJvNextRoles.json

1. Notez l'ID d'objet de l'identité gérée du compte Azure Automation dans Paramètres du compte > Identité

   

2. Ouvrez une fenêtre PowerShell.

3. Accédez au dossier contenant les fichiers téléchargés

cd c:\temp\myfolder

1. Débloquez les scripts si nécessaire

2. Attribuez les autorisations MS Graph à votre compte Azure Automation en utilisant GrantAppPermToEntApp.ps1, en remplaçant xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx par l'ID d'objet de votre compte Automation

. .\GrantAppPermToEntApp.ps1 -enterpriseAppObjId "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" -permissionsTemplate .\RJvNextPermissions.json

1. Attribuez des rôles d'administration Entra ID à votre compte Azure Automation en utilisant AssignAzureADRoleToEntApp.ps1 en remplaçant xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx par l'ID d'objet de votre compte Automation

. .\AssignAzureADRoleToEntApp.ps1 -objectId "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" -rolesTemplate .\RJvNextRoles.json

1. Le compte Azure Automation devrait maintenant disposer des autorisations correctes pour exécuter les runbooks

3

Configuration des runbooks RealmJoin - Partie 1

1. Dans RealmJoin Portal, allez à 'Paramètres -> Runbooks'.

   
2. Remplissez l'ID du locataire, l'ID d'abonnement et le nom du groupe de ressources appartenant au compte Azure Automation L'ID du locataire dans la page Aperçu Entra ID

   
3. Copiez le script en rouge ci-dessous ResourceGroup. Ce script crée un principal de service dans Entra ID avec un accès à votre compte Automation, permettant à RealmJoin de gérer, exécuter et surveiller les runbooks. Le script est mis à jour en fonction des entrées pour l'ID du locataire, l'ID d'abonnement et le groupe de ressources.

   
4. Laissez l'assistant ouvert pour l'instant. Nous y reviendrons sous peu dans la partie 2.

4

Accorder l'accès de RealmJoin à Azure Automation

Vous pouvez utiliser Azure CloudShell, afin de ne pas avoir à installer et authentifier une copie locale de l'AZ CLI.

1. Exécutez le script copié précédemment dans PowerShell.

   

2. Notez les valeurs pour appId et password. L'enregistrement d'application "RealmJoin Runbook Management" sera créé.

   

   Enregistrements d'applications dans le Portail Azure

5

Configuration des runbooks RealmJoin - Partie 2

1. Dans RealmJoin Portal, revenez à la fenêtre/à l'assistant ouvert pour 'Paramètres -> Runbooks'

2. Remplissez les valeurs manquantes pour appId et password créé à l'étape précédente

3. Remplissez le nom du compte Automation créé précédemment

4. Choisissez la branche du référentiel de runbooks partagé que vous souhaitez suivre. Si vous n'êtes pas sûr, veuillez choisir production Toutes les branches de runbooks peuvent être consultées ici : https://github.com/realmjoin/realmjoin-runbooks

5. Choisissez le même emplacement que votre compte Azure Automation pour vous assurer que vos runbooks sont exécutés dans la bonne région Azure

Connexion du compte Automation dans RealmJoin Portal

1. Appuyez sur "Enregistrer" pour lancer l'importation initiale des runbooks. Veuillez laisser cette fenêtre ouverte jusqu'à ce que vous voyiez le message "Synchronisation terminée".