Connexion à Azure Automation

Connectez un compte Azure Automation à RealmJoin Portal avec le module PowerShell RealmJoin, afin que RealmJoin puisse déployer, exécuter et surveiller les runbooks dans votre Tenant.

Aperçu

Pour permettre à RealmJoin Portal de fournir runbooks pour automatiser les tâches quotidiennes, vous devez connecter un Azure Automation Compte. Il sert d'hôte à vos runbooks et fournit les autorisations dont les runbooks ont besoin pour fonctionner dans votre environnement.

Le compte Automation est configuré avec le module PowerShell RealmJoin. Le Portail génère une commande prête à copier pour vous — il n'y a aucune inscription d'application à créer ni de secret client à gérer.

Les runbooks sont-ils déjà configurés pour votre Tenant avec l'ancienne RealmJoin Runbook Management inscription d'application ? Alors consultez Passer à l'application managée RealmJoin. Elle conserve votre Automation Account et vos runbooks, et supprime le secret client par Tenant.

Considérations

L'identité managée du compte Automation Identité managée nécessite de larges autorisations dans votre environnement, comme la capacité de modifier des objets groupe ou utilisateur dans Entra ID ou de gérer des boîtes aux lettres dans Exchange Online. Limitez l'accès administrateur à ce compte afin d'empêcher toute utilisation abusive de ces privilèges.

Lorsque vous utilisez un Automation Account existant, notez que RealmJoin Portal crée, met à jour et supprime automatiquement les runbooks provenant du dépôt en ligne partagé de runbooks. Cette fonctionnalité peut ne pas être prise en charge dans un Automation Account existant. En cas de doute, nous recommandons de créer un compte Azure Automation dédié pour les runbooks RealmJoin — ce que la commande d'installation fait pour vous.

Ce que le déploiement installe

L'exécution de la commande d'installation crée :

• Le RealmJoin Azure Resources Service Principal dans votre tenant Entra ID (s’il n’existe pas encore)
• Un Compte Automation avec une identité managée attribuée par le système, dans la région du groupe de ressources — ou votre Automation Account existant, si vous en indiquez un
• Contributor pour le Service Principal RealmJoin, limité à cet Automation Account, afin que RealmJoin puisse synchroniser et lancer les runbooks
• Le autorisations d'application pour l'identité managée incluse dans le module — Microsoft Graph, Office 365 Exchange Online, Windows Defender ATP et SharePoint Online

RealmJoin s'authentifie auprès d'Azure avec sa propre application multitenant. Aucune inscription d'application ni aucun secret client ne sont créés dans votre Tenant, et RealmJoin ne reçoit aucune autorisation en dehors de cet Automation Account.

Les rôles d'annuaire Entra ID de l'identité managée Entra ID directory roles — Administrateur Intune, Administrateur Exchange, Administrateur des utilisateurs, et ainsi de suite — sont renverrait attribués par la commande d'installation. Ils doivent encore être accordés séparément, voir Accorder des rôles et des autorisations. Sans eux, une grande partie des runbooks partagés ne fonctionnera pas.

Prérequis

Dans le Portail RealmJoin

• Un rôle qui accorde l’accès à la zone Paramètres (CanReadSettingsDetails, voir Autorisations disponibles). La page des paramètres génère la commande de configuration, y compris un jeton d'intégration à durée de vie limitée.

Dans Azure

• Un abonnement Azure et un groupe de ressources existant à déployer dans — le module ne crée pas le groupe de ressources. Un groupe de ressources distinct pour le compte Automation est recommandé.
• En option, un Automation Account existant. Si vous n'en indiquez pas, un compte sera créé pour vous.

Sur la machine qui exécute PowerShell

• PowerShell 5.1 ou version ultérieure (Windows PowerShell ou PowerShell 7)
• Accès à la PowerShell Gallery pour installer le module RealmJoin
• Le Az.Accounts, Az.Resources et Az.Automation modules — le module RealmJoin les installe automatiquement dans les versions verrouillées, pour l’utilisateur actuel

Autorisations du compte avec lequel vous vous connectez

• Microsoft Entra ID : autorisation de créer des Service Principals et d'accorder des autorisations d'application — la configuration attribue les rôles d'application Graph, Exchange, Defender et SharePoint à l'identité managée. En pratique, cela signifie Global Administrator ou Privileged Role Administrator.
• Abonnement Azure : autorisation de déployer dans le groupe de ressources et pour y créer des affectations de rôle — par exemple Owner, ou Contributor combiné avec User Access Administrator / Role Based Access Control Administrator.
• La connexion se fait via Connect-AzAccount, qui utilise l’ Azure PowerShell application de première partie. Les tenants qui limitent le consentement utilisateur peuvent devoir accorder d’abord un consentement d’administrateur à cette application.

Exécutez la commande dans un nouvellement ouvert, local session PowerShell et évitez Azure Cloud Shell. Le module RealmJoin exige des versions exactes des Az.* modules. Si une version différente est déjà chargée dans la session — ce qui est généralement le cas dans Cloud Shell — le module s'arrête avec un conflit de version qui ne peut être résolu qu'en ouvrant une nouvelle session.

Configuration

1

Préparez le groupe de ressources

Dans le Azure Portal, créez ou sélectionnez le groupe de ressources qui doit héberger le compte Automation. Notez son nom et l'ID de l'abonnement dans lequel il se trouve.

Si vous souhaitez utiliser un espace de travail si vous utilisez un Automation Account existant, notez également son nom.

2

Copiez la commande depuis RealmJoin Portal

Dans le RealmJoin Portal, allez à Paramètres → Runbooks (https://portal.realmjoin.com/settings/runbooks-configuration).

La page indique que la configuration des runbooks est gérée via le module PowerShell RealmJoin et affiche un bloc de commande. Utilisez la Copier pour le copier.

$latest = [version](Find-Module RealmJoin -Repository PSGallery -ErrorAction Stop).Version
if (-not (Get-Module -ListAvailable RealmJoin | Where-Object Version -ge $latest)) {
    Install-Module RealmJoin -Force -AllowClobber -ErrorAction Stop
}
Import-Module RealmJoin -Force
Set-RJAutomationAccount -Token "<Token>" 6>&1

À propos 6>&1: ces commandes signalent leur progression sur le flux d’information de PowerShell. La 6>&1 redirection affiche cette sortie dans la console — sans elle, vous ne verrez aucun message de progression.

3

Ajoutez les paramètres cibles

Set-RJAutomationAccount a besoin de savoir où déployer. Complétez la dernière ligne avant de l'exécuter :

Set-RJAutomationAccount -ResourceGroupName "rg-realmjoin" -SubscriptionId "<SubscriptionId>" -Token "<Token>" 6>&1

• -ResourceGroupName est requis. Si vous l'omettez, PowerShell vous le demandera.
• -SubscriptionId est facultatif — sans lui, l'abonnement de votre contexte Azure actuel est utilisé, et l'on vous demande d'en choisir un si plusieurs sont disponibles.
• -AutomationAccountName est facultatif. Passez-le pour utiliser un espace de travail Automation Account ; sinon, un nouveau compte est créé avec un nom généré.

Cibler la commande sur un Automation Account existant impose aussi les paramètres que RealmJoin attend : une identité managée attribuée par le système, le SKU Basic et l'accès réseau public. Vérifiez que cela correspond à vos besoins avant de réutiliser un compte.

4

Exécutez la commande

Collez le bloc dans une nouvelle session PowerShell et exécutez-le. Le jeton est valable environ une heure — s’il a expiré, rechargez la page des paramètres et copiez la commande à nouveau.

Vous serez invité à vous connecter avec Connect-AzAccount.

Le déploiement s'effectue en trois étapes — service principal, Automation Account, autorisations — et signale chaque ressource au fur et à mesure de sa création. Une exécution prend généralement quelques minutes.

Vous voulez voir d’abord ce qui se passerait ? Ajoutez -WhatIf pour un aperçu What-If d’Azure Resource Manager. Notez que la connexion et l’installation des Az modules se produisent quand même, car l’aperçu a besoin des deux.

Se déconnecter ensuite : la connexion Azure reste active une fois la commande terminée. Une fois que vous avez terminé, exécutez Disconnect-AzAccount pour vous déconnecter de la session existante.

5

Attribuez les rôles Entra ID à l'identité managée

La configuration accorde à l'identité managée ses autorisations d'application, mais pas ses rôles d'annuaire Entra ID. Attribuez-les maintenant — voir Accorder des rôles et des autorisations pour la liste actuelle et un script qui s'en charge.

L'ID d'objet de l'identité managée est affiché dans le Azure Portal sur l'Automation Account sous Account Settings > Identity.

Identité managée de l'Automation Account

6

Vérifiez dans le Portail et lancez la première synchronisation

Retournez à Paramètres → Runbooks et sélectionnez Actualiser. RealmJoin prend en compte la nouvelle configuration et lance l'import initial des runbooks. Laissez la page ouverte jusqu'à la fin de la synchronisation.

L'abonnement, le groupe de ressources, le nom de l'Automation Account et l'emplacement sont désormais affichés en lecture seule sous Connexion Azure — ils sont désormais gérés par le module PowerShell.

Paramètres que vous gérez dans le Portail

Deux paramètres restent modifiables dans Paramètres → Runbooks après la configuration :

• Branche — la branche du dépôt partagé de runbooks que vous souhaitez suivre. La configuration le définit sur production, ce qui est le bon choix sauf si vous avez une raison de faire autrement.
• Activer la synchronisation du Hybrid Runbook Worker et le groupe de travailleurs à utiliser, voir Hybrid Runbook Worker. Le groupe doit être enregistré dans l'Automation Account avant de pouvoir être sélectionné ici.

L'enregistrement de l'un ou l'autre déclenche une synchronisation des runbooks.

Si vous rencontrez plus tard des problèmes de configuration ou d'autorisations, le Afficher la cmdlet bouton sous Connexion Azure ramène la commande — vous pouvez l'exécuter de nouveau en toute sécurité ; elle n'applique que ce qui manque.

Configuration héritée (inscription d'application par Tenant)

La configuration ci-dessous crée une RealmJoin Runbook Management inscription d'application avec un secret client dans votre Tenant. Elle est documentée uniquement à titre de référence pour les Tenants configurés de cette manière par le passé. Ne l'utilisez pas pour de nouvelles configurations — suivez la Configuration ci-dessus, ou pour faire passer une configuration existante à l'application managée.

Afficher la configuration héritée

Dans ce mode, l'Automation Account a été créé manuellement dans le Azure Portal, ses autorisations ont été attribuées à l'aide de deux scripts externes, et RealmJoin s'authentifiait avec une inscription d'application et un secret client par Tenant.

Partie 1 — Créer un compte Azure Automation

1. Accédez à votre Azure Portal > Automation Accounts et créez un nouveau compte Automation.
2. Dans l'onglet Généralités, choisissez votre Abonnement, votre Groupe de ressources, le nom du compte Automation et la Région.
3. Dans l'onglet Avancé, vérifiez que l'identité managée attribuée par le système est activée.
4. Sélectionnez Vérifier + créer et créez votre compte Automation.
5. Accédez au groupe de ressources contenant le compte Automation et, dans l'onglet IAM, attribuez au compte Automation le rôle Contributeur.

Création du compte Automation

Activation de l'identité managée attribuée par le système

Partie 2 — Attribuer des autorisations au compte Automation

Les autorisations de l'identité managée ne peuvent pas être accordées via le Azure Portal. Les approle-and-directoryrole-granter scripts attribuent à la fois les autorisations d'application et les rôles Entra ID à partir des fichiers JSON publiés dans le dépôt des runbooks:

. .\GrantAppPermToEntApp.ps1 -enterpriseAppObjId "<ManagedIdentityObjectId>" -permissionsTemplate .\AllRealmJoinRunbooks_collected_permissions.json
. .\AssignAzureADRoleToEntApp.ps1 -objectId "<ManagedIdentityObjectId>" -rolesTemplate .\AllRealmJoinRunbooks_collected_rbacroles.json

Partie 3 — Créer le Service Principal pour RealmJoin

Dans le Portail, sous Paramètres > Runbooks, l'ID de Tenant, l'ID d'abonnement et le groupe de ressources ont d'abord été saisis ; la page a ensuite affiché un extrait Azure CLI à exécuter, qui a créé le RealmJoin Runbook Management inscription d'application avec des droits Contributeur sur le groupe de ressources :

az provider register --namespace Microsoft.Automation
az ad sp create-for-rbac -n "RealmJoin Runbook Management" --role contributor --scopes /subscriptions/<SubscriptionId>/resourceGroups/<ResourceGroup>

Partie 4 — Terminer l'assistant

De retour dans le Portail, le appId et password de cette sortie ont été saisis avec le nom du compte Automation, la branche du dépôt partagé de runbooks (production) et l'emplacement du compte Automation. L'enregistrement a lancé l'import initial des runbooks.

Connexion du compte Automation dans le RealmJoin Portal