如何在 Azure 中查看所有用户的列表以及分配给他们的角色？

Question

我是 Azure 管理员。

我想知道是否有一种简单的方法可以显示 Azure 中的用户列表以及他们针对哪些订阅、用户组和资源分配的角色？

基本上，我想要一份人们在任何事情上的所有角色分配的列表。

相反，我会接受订阅中每个资源组和资源的列表，并列出它们的角色分配。

听起来不是一个大问题？

最简单的方法是什么？

--李

Answer 1

正如评论中提到的，您可以直接在门户中查看。导航到门户中的资源/资源组/订阅 -> Access control (IAM) -> Role assignments，您可以使用所需的参数进行过滤。

或者您可以使用 Azure powershell Get-AzRoleAssignment 或 REST API，这取决于您的要求。

示例：

1.你有一个用户的ObjectIds列表，你可以使用如下脚本。

[string[]]$ids = "5c2cf3xxx99e895","44b8xxxx0cd8","b2a9xxxxc34e"
foreach($id in $ids){
    Get-AzRoleAssignment -ObjectId $id
}

2.您拥有用户的登录名。

[string[]]$names = "xxxx@xxxxx.onmicrosoft.com","xxxx@xxxxx.onmicrosoft.com","xxxx@xxxxx.onmicrosoft.com"
foreach($name in $names){
    Get-AzRoleAssignment -SignInName $name
}

更新：

注意： Azure 中的角色分配是可继承的，例如如果您在subscription 范围内添加用户的角色分配，当您在resource group 中列出角色分配时，也会列出该用户的角色分配。资源组和组内资源的逻辑相同。

1.你有用户的SignInNames，想获取订阅中所有资源的角色分配。

[string[]]$names = "xxxx@xxxxx.onmicrosoft.com","xxxx@xxxxx.onmicrosoft.com","xxxx@xxxxx.onmicrosoft.com"
$rids = (Get-AzResource).ResourceId
foreach($rid in $rids){
    foreach($name in $names){
        Get-AzRoleAssignment -Scope $rid -SignInName $name 
    }   
}

2.您有用户的SignInNames，想要获取特定资源组中所有资源的角色分配。

[string[]]$names = "xxxx@xxxxx.onmicrosoft.com","xxxx@xxxxx.onmicrosoft.com","xxxx@xxxxx.onmicrosoft.com"
$rids = (Get-AzResource -ResourceGroupName <group-name>).ResourceId
foreach($rid in $rids){
    foreach($name in $names){
        Get-AzRoleAssignment -Scope $rid -SignInName $name 
    }   
}

3.您有用户的SignInNames，想要获取订阅中所有资源组的角色分配。

[string[]]$names = "xxxx@xxxxx.onmicrosoft.com","xxxx@xxxxx.onmicrosoft.com","xxxx@xxxxx.onmicrosoft.com"
$gids = (Get-AzResourceGroup).ResourceId
foreach($gid in $gids){
    foreach($name in $names){
        Get-AzRoleAssignment -Scope $gid -SignInName $name 
    }   
}

Answer 2

#!/bin/bash
    
    
subscriptions_list=($(az account list --all --query "[].id" -o table  | grep -vi "resul\|--"))
    
#echo "These subscriptions are linked to Azure Account: $subscriptions_list"
    

    
echo ""
    
echo "Below is the list of <USERS> with direct role assignments to subscriptions"
    
echo ""
    

    
# Listing "Users" with direct tole assignments to subscriptions
    

    
for subscription in "${subscriptions_list[@]}"; do
    
 echo "************************************************************************************"
    
 echo "Direct Role Assignments(s) for subscription id: $subscription"
    
 echo ""
    
 az role assignment list --subscription $subscription --query "[?principalType=='User'].{Role:roleDefinitionName,Email:principalName}" -o table
    
 echo ""
    
done

“az account list”az cli 命令将输出（订阅列表）保存在一个变量中。然后一个 for 循环逐个遍历这些订阅，列出它们的所有者（“用户”类型）。不清楚的请追问。