Ligação ao Azure Automation

Este guia descreve o processo de integração tanto para Automation Accounts novos como existentes.

Overview

Para permitir que o RealmJoin Portal forneça runbooks para automatizar tarefas diárias, você deve conectar um Azure Automation Account. Esta Automation Account atuará como o host para seus runbooks e fornecerá as permissões necessárias para que os runbooks funcionem dentro do seu ambiente.

Considerações

A Managed Identity da Automation Account requer extensas permissões no seu ambiente, como a capacidade de modificar objetos de grupo ou usuário no Entra ID ou gerenciar caixas de correio no Exchange Online. Limite o acesso administrativo a esta conta para evitar o uso indevido desses privilégios.

Ao usar uma Automation Account existente, observe que o RealmJoin Portal cria, atualiza e remove automaticamente runbooks provenientes do repositório online compartilhado de runbooks. Essa funcionalidade pode não ser suportada em uma Automation Account existente. Se houver incerteza, recomendamos criar uma Azure Automation Account dedicada para o RealmJoin Runbooks.

Pré-requisitos

• Privilégios de Global Administrator

• Acesso ao PowerShell com o Az módulo ou AZ CLI

• Permissões de Contributor em uma assinatura do Azure

• Requisitos do runbook

Instruções

1

Criar uma Azure Automation Account

1. Navegue até o seu Azure Portal > Automation Accounts

2. Criar uma nova Automation Account

3. Na aba Basics, escolha a Subscription, Resource Group, Automation Account Name e Region desejados

   

É recomendado um Resource Group separado para sua Automation Account

1. Na aba Advanced, certifique-se de que o System Assigned Managed Identity está habilitado

   
2. Selecione Review + Create e crie sua Automation Account

3. Navegue até o Resource Group que contém sua Azure Automation Account

4. Na aba IAM, atribua à Azure Automation Account a função de Contributor

2

Atribuir permissões à Azure Automation Account

Os runbooks compartilhados do RealmJoin usam a identidade gerenciada atribuída pelo sistema do Azure Automation para interagir com Entra ID, MS Graph API etc.

As permissões da Managed Identity não podem atualmente ser concedidas por meio do Azure Portal. Use Microsoft Graph ou PowerShell para atribuir essas permissões.

1. Baixe os seguintes scripts PowerShell e arquivos JSON para a mesma pasta. O script atribuirá o conjunto completo de permissões exigido pelo RealmJoin. As funções e permissões podem ser revisadas na Requisitos seção e ajustadas conforme necessário nos arquivos JSON.

GrantAppPermToEntApp.ps1

Unexpected error with integration github-files: Integration is not installed on this space

AssignAzureADRoleToEntApp.ps1

RJvNextPermissions.json

RJvNextRoles.json

1. Anote o Object ID da Managed Identity da Azure Automation Account em Account Settings > Identity

   
2. Abra uma janela do PowerShell.

3. Navegue até a pasta que contém os arquivos baixados

cd c:\temp\myfolder

1. Desbloqueie os scripts, se necessário

2. Atribua permissões do MS Graph à sua Azure Automation Account usando GrantAppPermToEntApp.ps1, substituindo xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx pelo Object ID da sua Automation Account

. .\GrantAppPermToEntApp.ps1 -enterpriseAppObjId "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" -permissionsTemplate .\RJvNextPermissions.json

1. Atribua funções de administrador do Entra ID à sua Azure Automation Account usando AssignAzureADRoleToEntApp.ps1, substituindo xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx pelo Object ID da sua Automation Account

. .\AssignAzureADRoleToEntApp.ps1 -objectId "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" -rolesTemplate .\RJvNextRoles.json

1. A Azure Automation Account agora deve ter as permissões corretas para executar Runbooks

3

Configuração do RealmJoin Runbook - Parte 1

1. No RealmJoin Portal, vá para 'Settings -> Runbooks'.

   
2. Preencha o Tenant ID, Subscription ID e o nome do Resource Group pertencentes à Azure Automation Account O Tenant ID na página de visão geral do Entra ID

   
3. Copie o script em vermelho abaixo ResourceGroup. Este script cria um Service Principal no Entra ID com acesso à sua Automation Account, permitindo que o RealmJoin gerencie, execute e monitore runbooks. O script é atualizado com base nas entradas de Tenant ID, Subscription ID e Resource Group.

   
4. Deixe o assistente aberto por enquanto. Voltaremos em breve na parte 2.

4

Concedendo acesso para o RealmJoin ao Azure Automation

Você pode usar Azure CloudShell, assim você não precisa instalar e autenticar uma cópia local do AZ CLI.

1. Execute o script copiado anteriormente no PowerShell.

   
2. Anote os valores de appId e password. A App Registration "RealmJoin Runbook Management" será criada.

   

   App Registrations no Azure Portal

5

Configuração do RealmJoin Runbook - Parte 2

1. No RealmJoin Portal, volte para a janela/assistente aberto para 'Settings -> Runbooks'

2. Preencha os valores em falta de appId e password criado na etapa anterior

3. Preencha o nome da Automation Account criada anteriormente

4. Escolha a Branch do repositório compartilhado de runbooks que deseja seguir. Se não tiver certeza, escolha production Todas as branches do runbook podem ser visualizadas aqui: https://github.com/realmjoin/realmjoin-runbooks

5. Escolha a mesma localização da sua Azure Automation Account para garantir que seus runbooks sejam executados na região do Azure

Conexão da Automation Account no RealmJoin Portal

1. Pressione "Save" para iniciar a importação inicial dos runbooks. Deixe esta janela aberta até ver a mensagem "Sync completed".