使用PowerShell 获取 Azure账户中的用户权限分配情况
今天再来分享一篇关于PowerShell的文章，这次分享的脚本主要是用来获取Azure中用户权限分配的情况，原始的需求是因为公司Azure账户因为权限分配混乱，导致了一些不该发生的事情，所以需要重新整理所有的用户权限分配情况，重新进行梳理和规整，这种情况下，了解当前的权限分配情况就非常重要了。一般情况下，Azure可以根据RBAC的方式进行权限分配，这个是很方便的，简单介绍下RBAC的概念吧
RBAC概念
使用 RBAC，可以在团队中实现职责分离，仅向用户授予执行作业所需的访问权限。 无需向每个人授予 Azure 订阅或资源的无限制权限，可以仅允许在特定的范围执行某些操作。
规划访问控制策略时，最佳做法是授予用户完成工作所需的最低权限。 下图显示了与 RBAC 使用有关的建议模式。
使用 RBAC 控制资源访问权限的方式是创建角色分配。 这是一个需要理解的重要概念 - 它涉及到如何强制实施权限。 角色分配包含三个要素：安全主体、角色订阅和范围。
安全主体
安全主体是一个对象，表示请求访问 Azure 资源的用户、组、服务主体或托管标识。
用户 - 在 Azure Active Directory 中具有配置文件的人员。 也可以将角色分配到其他租户中的用户。 有关其他组织中的用户的信息，请参阅 Azure Active Directory B2B。
组 - 在 Azure Active Directory 中创建的一组用户。 将某个角色分配到某个组时，该组中的所有用户都拥有该角色。
服务主体 - 应用程序或服务用来访问特定 Azure 资源的安全标识。 可将服务主体视为应用程序的用户标识（用户名和密码或证书）。
托管标识 - Azure Active Directory 中由 Azure 自动托管的标识。 在开发云应用程序时，通常使用托管标识来管理用于向 Azure 服务进行身份验证的凭据。
角色
Azure 包含多个可用的内置角色。 下面列出了四个基本的内置角色。 前三个角色适用于所有资源类型。
所有者 - 拥有对所有资源的完全访问权限，包括将访问权限委派给其他用户的权限。
参与者 - 可以创建和管理所有类型的 Azure 资源，但无法将访问权限授予其他用户。
读取者 - 可以查看现有的 Azure 资源。
用户访问管理员 - 允许你管理用户对 Azure 资源的访问。
范围
范围是访问权限适用于的资源集。 分配角色时，可以通过定义范围来进一步限制允许的操作。 如果你想要将某人分配为网站参与者，但只针对一个资源组执行此分配，则使用范围就很有帮助。
在 Azure 中，可在多个级别指定范围：管理组、订阅、资源组或资源。 范围采用父子关系结构。
在父范围授予访问权限时，这些权限会继承到子范围。 例如：
如果将所有者角色分配给管理组范围的用户，则该用户可以在管理组中管理所有订阅中的一切内容。
如果在订阅范围向某个组分配了读取者角色，则该组的成员可以查看订阅中的每个资源组和资源。
如果在资源组范围向某个应用程序分配了参与者角色，则该应用程序可以管理该资源组中所有类型的资源，但不能管理订阅中的其他资源组资源。
角色分配是出于授予访问权限的目的，将角色定义附加到特定范围内的用户、组、服务主体或托管标识的过程。 通过创建角色分配来授予访问权限，通过删除角色分配来撤销访问权限。
下图显示了角色分配的示例。 在此示例中，为"营销"组分配了医药销售资源组的参与者角色。 这意味着，"营销"组中的用户可以在医药销售资源组中创建或管理任何 Azure 资源。 "营销"用户无权访问医药销售资源组外部的资源，除非他们属于另一个角色分配。
基本上RBAC的概念已经简单介绍过了，我们也是通过RBAC的方式进行权限分配的，如果想了解权限分配的情况，可以运行以下的脚本
function Write-DateTimeMessage { param ( [parameter(Mandatory = $false)] [switch]$Warning, [parameter(Mandatory = $true)] [string]$Message, [parameter(Mandatory = $false)] [string]$ForegroundColor ) if ($Warning) { Write-Warning ($(Get-Date -UFormat '%Y/%m/%d %H:%M:%S') + " * " + $Message) } else { if ($ForegroundColor) { Write-Host ($(Get-Date -UFormat '%Y/%m/%d %H:%M:%S') + " * " + $Message) -ForegroundColor $ForegroundColor } else { Write-Host ($(Get-Date -UFormat '%Y/%m/%d %H:%M:%S') + " * " + $Message) } } }[pscustomobject[]]$UserObjects = $null Get-AzureRmADUser | % { $User = $_ Write-DateTimeMessage -Message "Checking User $($User.UserPrincipalName)" $RoleAssignments = Get-AzureRmRoleAssignment -SignInName $User.UserPrincipalName if ($null -ne $RoleAssignments) { $RoleAssignments | % { $RoleAssignment = $_ $UserObject = New-Object -TypeName psobject $UserObject | Add-Member -MemberType NoteProperty -Name DisplayName -Value $RoleAssignment.DisplayName $UserObject | Add-Member -MemberType NoteProperty -Name SignInName -Value $RoleAssignment.SignInName $UserObject | Add-Member -MemberType NoteProperty -Name Scope -Value $RoleAssignment.Scope $UserObject | Add-Member -MemberType NoteProperty -Name RoleDefinitionName -Value $RoleAssignment.RoleDefinitionName $UserObject | Add-Member -MemberType NoteProperty -Name ObjectType -Value $RoleAssignment.ObjectType $UserObject | Add-Member -MemberType NoteProperty -Name CanDelegate -Value $RoleAssignment.CanDelegate $UserObject | Add-Member -MemberType NoteProperty -Name RoleDefinitionId -Value $RoleAssignment.RoleDefinitionId $UserObject | Add-Member -MemberType NoteProperty -Name ObjectId -Value $RoleAssignment.ObjectId $UserObjects += $UserObject } }else{ Write-DateTimeMessage "No role assignment for user $($User.DisplayName)" -Warning } } $OutputPath = Join-Path -Path ([Environment]::GetFolderPath("Desktop")) -ChildPath ("AzureUserPermission-" + $(Get-Date -Format "yyyyMMdd-HHmmss") + ".csv")if ($null -ne $UserObjects) { $UserObjects | Export-Csv -NoTypeInformation -LiteralPath $OutputPath Write-DateTimeMessage -Message "Please check $OutputPath" -Warning}else { Write-DateTimeMessage "Maybe no user in the environment or didn't get information, please check" -warning}脚本没有任何的参数，直接运行即可，运行的效果大概如下
运行完成后，会在你的桌面生成一个csv文件，里边会记录这些信息
