Cet article a été traduit automatiquement. La traduction peut contenir des imprécisions.
Passer à la version originale en anglais.
Ctrlk
linkedinx-twitter
For the complete documentation index, see llms.txt. This page is also available as Markdown.

Exigences d’exécution des runbooks

Cette page wiki traite des exigences et des autorisations (au niveau système) à accorder pour que les runbooks puissent être exécutés.

Modules PowerShell

La section Modules PowerShell est automatiquement mise à jour en fonction du dépôt public.

Les runbooks partagés disponibles sur GitHub attendent/utilisent les modules Windows PowerShell suivants :

Module
Version minimale dans les runbooks

Az.Accounts

5.5.2

Az.Compute

11.8.0

Az.DesktopVirtualization

6.0.0

Az.ManagementPartner

0.8.0

Az.Storage

9.7.2

ExchangeOnlineManagement

3.9.2

Microsoft.Graph.Authentication

2.39.0

MicrosoftTeams

7.9.0

PnP.PowerShell

3.4.1

RealmJoin.RunbookHelper

0.8.9

RealmJoin Portal importera et installera automatiquement ces modules s’ils sont référencés depuis un runbook. Cette importation respectera également les versions minimales spécifiées pour les modules.

Autorisations

La section Autorisations est automatiquement mise à jour en fonction du dépôt public.

Les runbooks partagés RealmJoin utilisent l’identité gérée attribuée par le système pour interagir avec Entra ID, l’API MS Graph, etc.

La liste suivante de rôles et d’autorisations vous permettra d’utiliser tous les runbooks actuellement disponibles dans notre dépôt partagé.

Il n’est pas recommandé de réduire ces rôles/autorisations, car les runbooks ne sont testés qu’avec cet ensemble d’autorisations. Si vous réduisez l’ensemble des rôles/autorisations, certains runbooks cesseront de fonctionner.

Rôles Entra ID

Veuillez attribuer les rôles Entra ID suivants à l’identité gérée

  • Développeur d’application

  • Administrateur d’appareils cloud

  • Administrateur Exchange

  • Administrateur Intune

  • Administrateur Teams

  • Administrateur d'utilisateurs

Autorisations de l’API Graph

Veuillez accorder les autorisations suivantes de l’API Graph à l’identité gérée

  • Application.ReadWrite.All

  • Application.ReadWrite.OwnedBy

  • AppRoleAssignment.ReadWrite.All

  • AuditLog.Read.All

  • BitlockerKey.Read.All

  • Channel.ReadBasic.All

  • ChannelMember.ReadWrite.All

  • CloudPC.ReadWrite.All

  • Device.ReadWrite.All

  • DeviceLocalCredential.Read.All

  • DeviceManagementApps.ReadWrite.All

  • DeviceManagementConfiguration.ReadWrite.All

  • DeviceManagementManagedDevices.PrivilegedOperations.All

  • DeviceManagementManagedDevices.ReadWrite.All

  • DeviceManagementServiceConfig.ReadWrite.All

  • Directory.ReadWrite.All

  • Group.Create

  • Group.ReadWrite.All

  • GroupMember.ReadWrite.All

  • IdentityRiskyUser.ReadWrite.All

  • InformationProtectionPolicy.Read.All

  • Mail.Send

  • Organization.Read.All

  • Place.Read.All

  • Policy.Read.All

  • Reports.Read.All

  • ReportSettings.ReadWrite.All

  • RoleAssignmentSchedule.Read.Directory

  • RoleManagement.Read.All

  • RoleManagement.Read.Directory

  • ServiceHealth.Read.All

  • Sites.Read.All

  • Team.Create

  • Team.ReadBasic.All

  • TeamMember.ReadWrite.All

  • TeamSettings.ReadWrite.All

  • User.ReadWrite.All

  • UserAuthenticationMethod.ReadWrite.All

  • WindowsUpdates.ReadWrite.All

Autres autorisations d’API d’application

Veuillez accorder les autorisations suivantes de l’API Office 365 Exchange Online à l’identité gérée

  • Exchange.ManageAsApp

Veuillez accorder les autorisations suivantes de l’API WindowsDefenderATP à l’identité gérée

  • Machine.Read.All

  • Machine.Isolate

  • Machine.RestrictExecution

  • Ti.ReadWrite.All

Veuillez accorder les autorisations suivantes de l’API SharePoint à l’identité gérée

  • User.Read.All

  • Sites.Read.All

  • Sites.FullControl.All

Attribution des rôles et des autorisations

L’attribution d’autorisations aux identités gérées ne peut actuellement pas être effectuée à l’aide d’Azure Portal. Nous recommandons d’utiliser pour cela un script MS Graph / PowerShell.

Set-RJAutomationAccount du module PowerShell RealmJoin — voir Connexion à Azure Automation — attribue déjà les autorisations d’API qu’il regroupe pour Microsoft Graph, Exchange Online, Defender et SharePoint lorsqu’il configure ou met à jour le compte Automation.

Il ne ne pas attribue les rôles Entra ID du dépôt de runbooks. Utilisez les scripts ci-dessous pour les rôles Entra ID, et pour ajouter toute autorisation d’API dont un runbook a besoin et que le module ne couvre pas.

Vous pouvez trouver un exemple de ce processus ici. Les fichiers JSON qu’il attend sont publiés dans le du dépôt de runbooks:

L’ID d’objet de l’identité gérée est affiché dans Azure Portal sur le compte Automation sous Paramètres du compte > Identité.

Autorisations de ressources Azure

Veuillez accorder au moins l’accès « Contributeur » à l’abonnement ou au groupe de ressources hébergeant le compte Azure Automation pour les runbooks

Certains runbooks utiliseront un Storage Account Azure pour stocker des rapports ou des sauvegardes. Veuillez accorder au moins l’accès « Contributeur » à l’abonnement ou au groupe de ressources correspondant. La plupart des runbooks peuvent alors créer eux-mêmes les ressources dans le groupe de ressources.

Méthodes d’authentification

Identités gérées

Azure Automation prend en charge Identités gérées (attribuée par le système) comme principal moyen d’authentification. Cela remplace les comptes RunAs obsolètes.

Les runbooks RealmJoin prennent actuellement en charge les comptes RunAs si aucune identité gérée n’est configurée.

Si une identité gérée et un compte RunAs sont configurés en même temps, les runbooks du dépôt partagé de RealmJoin utiliseront automatiquement l’identité gérée de préférence lors de l’utilisation des versions plus récentes de notre RealmJoin.RunbookHelper module à partir de v0.8.0.

Les versions plus anciennes du module ne pouvaient pas exploiter pleinement les identités gérées et privilégiaient le compte RunAs.

Veuillez vous assurer que vous accordez les autorisations nécessaires à l’identité gérée ou que vous la désactivez complètement pour n’utiliser que le compte RunAs.

Secret client

Certains runbooks privés peuvent nécessiter une authentification de type ClientID/Secret. Il n’existe actuellement aucun runbook partagé nécessitant ClientID et Secret.

Si nécessaire, un ClientID et un Secret peuvent être stockés dans les informations d’identification gérées nommées « realmjoin-automation-cred » dans le compte Azure Automation.

Actuellement, « realmjoin-automation-cred » dans le compte Automation est créé par défaut par RJ-Wizard, mais rempli avec des valeurs aléatoires — elles devraient être remplacées par des valeurs correctes.

Mis à jour

Ce contenu vous a-t-il été utile ?