Connexion à Azure Automation

Ce guide décrit le processus d'intégration pour les Automation Accounts nouveaux et existants.

Aperçu

Pour permettre à RealmJoin Portal de fournir runbooks pour automatiser les tâches quotidiennes, vous devez connecter un Azure Automation Compte. Ce compte Automation servira d'hôte pour vos runbooks et fournira les autorisations requises pour que les runbooks fonctionnent dans votre environnement.

Considérations

L'identité managée du compte Automation identité managée nécessite des autorisations autorisations étendues dans votre environnement, comme la possibilité de modifier des objets de groupe ou d'utilisateur dans Entra ID ou de gérer des boîtes aux lettres dans Exchange Online. Limitez l'accès administratif à ce compte afin d'empêcher toute utilisation abusive de ces privilèges.

Lors de l'utilisation d'un compte Automation existant, notez que RealmJoin Portal crée, met à jour et supprime automatiquement des runbooks provenant du référentiel partagé en ligne de runbooks. Cette fonctionnalité peut ne pas être prise en charge dans un compte Automation existant. En cas de doute, nous recommandons de créer un compte Azure Automation dédié pour RealmJoin Runbooks.

Prérequis

• Privilèges d'administrateur général

• Accès à PowerShell avec le Az module ou AZ CLI

• Autorisations de Contributeur sur un abonnement Azure

• Exigences relatives aux runbooks

Instructions

1

Créer un compte Azure Automation

1. Accédez à votre Azure Portal > Automation Accounts

2. Créez un nouveau compte Automation

3. Dans l'onglet De base, choisissez l'abonnement, le groupe de ressources, le nom du compte Automation et la région souhaités

   

Un groupe de ressources distinct pour votre compte Automation est recommandé

1. Dans l'onglet Avancé, vérifiez que l'identité managée attribuée par le système est activée

   
2. Sélectionnez Réviser + créer, puis créez votre compte Automation

3. Accédez au groupe de ressources contenant votre compte Azure Automation

4. Dans l'onglet IAM, attribuez à votre compte Azure Automation le rôle de Contributeur

2

Attribuer des autorisations au compte Azure Automation

Les runbooks partagés RealmJoin utilisent l'identité managée attribuée par le système d'Azure Automation pour interagir avec Entra ID, Microsoft Graph, etc.

Les autorisations de l'identité managée ne peuvent actuellement pas être accordées via Azure Portal. Utilisez Microsoft Graph ou PowerShell pour attribuer ces autorisations.

1. Téléchargez les scripts PowerShell et les fichiers JSON suivants dans le même dossier. Le script attribuera l'ensemble complet d'autorisations requis par RealmJoin. Les rôles et autorisations peuvent être consultés dans la Exigences section et ajustés au besoin dans les fichiers JSON.

GrantAppPermToEntApp.ps1

Unexpected error with integration github-files: Integration is not installed on this space

AssignAzureADRoleToEntApp.ps1

RJvNextPermissions.json

RJvNextRoles.json

1. Notez l'ID d'objet de l'identité managée du compte Azure Automation dans Paramètres du compte > Identité

   
2. Ouvrez une fenêtre PowerShell.

3. Accédez au dossier contenant les fichiers téléchargés

cd c:\temp\myfolder

1. Débloquez les scripts si nécessaire

2. Attribuez les autorisations Microsoft Graph à votre compte Azure Automation à l'aide de GrantAppPermToEntApp.ps1, en remplaçant xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx par l'ID d'objet de votre compte Automation

. .\GrantAppPermToEntApp.ps1 -enterpriseAppObjId "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" -permissionsTemplate .\RJvNextPermissions.json

1. Attribuez les rôles d'administrateur Entra ID à votre compte Azure Automation à l'aide de AssignAzureADRoleToEntApp.ps1 en remplaçant xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx par l'ID d'objet de votre compte Automation

. .\AssignAzureADRoleToEntApp.ps1 -objectId "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" -rolesTemplate .\RJvNextRoles.json

1. Le compte Azure Automation doit maintenant disposer des autorisations correctes pour exécuter les runbooks

3

Configuration des runbooks RealmJoin - Partie 1

1. Dans RealmJoin Portal, allez à 'Paramètres -> Runbooks'.

   
2. Renseignez l'ID du Tenant, l'ID de l'abonnement et le nom du groupe de ressources appartenant au compte Azure Automation L'ID du Tenant dans la page de présentation d'Entra ID

   
3. Copiez le script en rouge ci-dessous ResourceGroup. Ce script crée un Service Principal dans Entra ID avec accès à votre compte Automation, permettant à RealmJoin de gérer, d'exécuter et de surveiller les runbooks. Le script est mis à jour en fonction des informations saisies pour l'ID du Tenant, l'ID d'abonnement et le groupe de ressources.

   
4. Laissez l'assistant ouvert pour le moment. Nous y reviendrons bientôt dans la partie 2.

4

Accorder à RealmJoin l'accès à Azure Automation

Vous pouvez utiliser Azure CloudShell, vous n'avez donc pas besoin d'installer ni d'authentifier une copie locale de AZ CLI.

1. Exécutez dans PowerShell le script copié précédemment.

   
2. Notez les valeurs de appId et password. L'inscription d'application "RealmJoin Runbook Management" sera créée.

   

   Inscriptions d'application dans Azure Portal

5

Configuration des runbooks RealmJoin - Partie 2

1. Dans RealmJoin Portal, revenez à la fenêtre/l'assistant ouvert pour 'Paramètres -> Runbooks'

2. Renseignez les valeurs manquantes pour appId et password créé à l'étape précédente

3. Renseignez le nom du compte Automation créé précédemment

4. Choisissez la branche du référentiel partagé de runbooks que vous souhaitez suivre. En cas de doute, veuillez choisir production Toutes les branches de runbooks peuvent être consultées ici : https://github.com/realmjoin/realmjoin-runbooks

5. Choisissez le même emplacement que votre compte Azure Automation pour vous assurer que vos runbooks sont exécutés dans la bonne région Azure

Connexion du compte Automation dans RealmJoin Portal

1. Appuyez sur "Enregistrer" pour lancer l'import initial des runbooks. Veuillez laisser cette fenêtre ouverte jusqu'à ce que le message "Synchronisation terminée" apparaisse.