Autorisations de l’application de gestion des runbooks

Comment RealmJoin s’authentifie auprès de votre compte Azure Automation, et quelles autorisations Azure il lui faut pour synchroniser et exécuter des runbooks.

Cette page décrit les autorisations dont RealmJoin lui-même a besoin pour interagir avec Azure Automation et les runbooks.

Voir Exigences d’exécution des runbooks pour les autorisations qui doivent être accordées à l'identité managée du Automation Account afin que les runbooks soient utiles dans votre environnement — il s'agit d'un ensemble distinct.

RealmJoin Azure Resources

Les Tenant intégrés avec le module PowerShell RealmJoin sont accessibles via la propre application multitenante de RealmJoin, RealmJoin Azure Resources. L'exécution de la configuration crée un Service Principal pour celui-ci dans votre Tenant.

RealmJoin l'utilise pour mettre à jour les runbooks Azure Automation dans votre Tenant à partir de le dépôt de runbooks partagé de RealmJoin, et à déclencher l'exécution des runbooks après avoir filtré les requêtes via le RBAC de RealmJoin et Autorisations des runbooks.

L'application a aucune autorisation API dans votre Tenant. Il n'y a pas de secret client de votre côté.

Autorisations des ressources Azure

Le Service Principal se voit accorder Contributor, limité au Automation Account géré par RealmJoin. Il ne reçoit aucune autorisation sur le groupe de ressources environnant, sur les autres ressources ni sur l'abonnement.

Le même Service Principal est également utilisé pour l' Log Analytics intégration, où ses propres rôles distincts lui sont accordés sur l'espace de travail et ses règles de collecte de données.

Gestion des runbooks RealmJoin (hérité)

Les Tenant configurés avant l'intégration basée sur PowerShell utilisent une inscription d'application appelée RealmJoin Runbook Management, créée individuellement dans votre Tenant. RealmJoin s'authentifie avec son ID client et son secret client, et l'application est généralement Contributeur sur l'ensemble du groupe de ressources hébergeant le compte Automation.

Comme cette application est créée individuellement pour votre Tenant, il n'existe pas d'ID d'application connu globalement, comme avec les applications du portail RealmJoin. Cette application n'a également aucune autorisation API.

Cette voie fonctionne toujours, mais cela implique de maintenir un secret client qui expire. Voir Passer à l'application managée RealmJoin pour migrer.