Ligação ao Azure Automation

Este guia descreve o processo de integração tanto para novas como para contas de Automation existentes.

Visão geral

Para permitir que o RealmJoin Portal forneça runbooks para automatizar tarefas diárias, tem de ligar uma Azure Automation Conta. Esta Conta de Automação atuará como anfitriã dos seus runbooks e fornecerá as permissões necessárias para que os runbooks funcionem no seu ambiente.

Considerações

A Identidade Gerida da Conta de Automação Identidade Gerida requer permissões extensas permissões no seu ambiente, como a capacidade de modificar objetos de grupo ou utilizador no Entra ID ou gerir caixas de correio no Exchange Online. Limite o acesso administrativo a esta conta para evitar o uso indevido destes privilégios.

Ao usar uma Conta de Automação existente, note que o RealmJoin Portal cria, atualiza e remove automaticamente runbooks provenientes do repositório online partilhado de runbooks. Esta funcionalidade pode não ser suportada numa Conta de Automação existente. Em caso de dúvida, recomendamos criar uma Conta de Automação do Azure dedicada para RealmJoin Runbooks.

Pré-requisitos

• privilégios de Administrador Global
• Acesso ao PowerShell com o Az módulo ou AZ CLI
• permissões de Colaborador numa subscrição do Azure
• Requisitos dos runbooks

Instruções

1

Criar uma Conta de Automação do Azure

1. Navegue até ao seu Azure Portal > Automation Accounts
2. Criar uma nova Conta de Automação
3. No separador Básico, escolha a Subscrição, o Grupo de recursos, o Nome da Conta de Automação e a Região pretendidos

   

Recomenda-se um Grupo de recursos separado para a sua Conta de Automação

1. No separador Avançado, certifique-se de que a Identidade Gerida Atribuída pelo Sistema está ativada

   
2. Selecione Rever + Criar e crie a sua Conta de Automação
3. Navegue até ao Grupo de recursos que contém a sua Conta de Automação do Azure
4. No separador IAM, atribua a Conta de Automação do Azure como Colaborador

2

Atribuir permissões à Conta de Automação do Azure

Os runbooks partilhados do RealmJoin usam a identidade gerida atribuída pelo sistema do Azure Automation para interagir com o Entra ID, a API do Microsoft Graph, etc.

Atualmente, as permissões da Identidade Gerida não podem ser concedidas através do Azure Portal. Utilize o Microsoft Graph ou o PowerShell para atribuir estas permissões.

1. Transfira os seguintes scripts do PowerShell e ficheiros JSON para a mesma pasta. O script irá atribuir o conjunto completo de permissões necessário ao RealmJoin. As funções e permissões podem ser consultadas na secção Requisitos e ajustadas conforme necessário nos ficheiros JSON.

GrantAppPermToEntApp.ps1

Unexpected error with integration github-files: Integration is not installed on this space

AssignAzureADRoleToEntApp.ps1

Unexpected error with integration github-files: Integration is not installed on this space

AllRealmJoinRunbooks_collected_permissions.json

Unexpected error with integration github-files: Integration is not installed on this space

AllRealmJoinRunbooks_collected_rbacroles.json

Unexpected error with integration github-files: Integration is not installed on this space

1. Anote o Object ID da Identidade Gerida da Conta de Automação do Azure em Definições da conta > Identidade

   
2. Abra uma janela do PowerShell.
3. Navegue até à pasta que contém os ficheiros transferidos

cd c:\temp\myfolder

1. Desbloqueie os scripts, se necessário
2. Atribua permissões do Microsoft Graph à sua Conta de Automação do Azure usando GrantAppPermToEntApp.ps1, substituindo xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx pelo Object ID da sua Conta de Automação

. .\GrantAppPermToEntApp.ps1 -enterpriseAppObjId "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" -permissionsTemplate .\AllRealmJoinRunbooks_collected_permissions.json

1. Atribua funções de administrador do Entra ID à sua Conta de Automação do Azure usando AssignAzureADRoleToEntApp.ps1, substituindo xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx pelo Object ID da sua Conta de Automação

. .\AssignAzureADRoleToEntApp.ps1 -objectId "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" -rolesTemplate .\AllRealmJoinRunbooks_collected_rbacroles.json

1. A Conta de Automação do Azure deverá agora ter as permissões corretas para executar runbooks

3

Configuração dos runbooks do RealmJoin - Parte 1

1. No RealmJoin Portal, vá para 'Definições -> Runbooks'.

   
2. Preencha o Tenant ID, o Subscription ID e o nome do Grupo de recursos pertencentes à Conta de Automação do Azure O Tenant ID na página de visão geral do Entra ID

   
3. Copie o script em vermelho abaixo ResourceGroup. Este script cria um Service Principal no Entra ID com acesso à sua Conta de Automação, permitindo ao RealmJoin gerir, executar e monitorizar runbooks. O script é atualizado com base nos dados introduzidos para Tenant ID, Subscription ID e Grupo de recursos.

   
4. Deixe o assistente aberto por agora. Voltaremos em breve na parte 2.

4

Conceder acesso do RealmJoin ao Azure Automation

Pode usar Azure CloudShell, pelo que não precisa de instalar nem autenticar uma cópia local do AZ CLI.

1. Execute o script copiado anteriormente no PowerShell.

   
2. Anote os valores para appId e password. O registo de aplicação "RealmJoin Runbook Management" será criado.

   

   Registos de aplicações no Azure Portal

5

Configuração dos runbooks do RealmJoin - Parte 2

1. No RealmJoin Portal, volte à janela/assistente aberto para 'Definições -> Runbooks'
2. Preencha os valores em falta para appId e password criado no passo anterior
3. Preencha o nome da Conta de Automação criada anteriormente
4. Escolha o ramo do repositório partilhado de runbooks que pretende seguir. Se não tiver a certeza, escolha production Todos os ramos de runbooks podem ser consultados aqui: https://github.com/realmjoin/realmjoin-runbooks
5. Escolha a mesma localização da sua Conta de Automação do Azure para garantir que os seus runbooks são executados na correta região do Azure

Ligação da Conta de Automação no RealmJoin Portal

1. Prima "Guardar" para iniciar a importação inicial dos runbooks. Deixe esta janela aberta até ver a mensagem "Sincronização concluída".