如何正确授权Azure用户帐户以便它可以创建服务主体？

Question

我们的产品是Azure（CloudMonix）的SaaS监控产品。通过ARM API连接到客户的Azure订阅的方法之一是创建一个针对我们的AD应用程序授权的服务主体。

我们使用这篇文章是为了启用此授权，所有工作都很奇妙：https://azure.microsoft.com/en-us/documentation/articles/resource-manager-api-authentication/

问题是，我们的用户通常无法访问最初用于创建订阅的超级管理员帐户。他们有自己的“共同管理员”帐户。这些用户需要具备哪些额外权限才能同意我们的AD应用访问其AD？他们在哪两个Azure门户中添加这些权限？

TIA

Answer 1

为了同意需要管理员权限的应用程序，用户需要拥有＆＃34;全局管理员（GA）＆＃34; Azure AD租户中的角色。这与Azure订阅中的服务管理员或共同管理员角色不同。

只有现有的GA才能授予其他用户GA权限。这意味着，如果您的用户无法执行管理员同意，他们也无法自己制作Azure AD GA。您的方案最可能的解决方案是让用户联系其IT部门或任何设置Azure AD租户或O365的人，并要求他们同意使用其GA凭据的应用程序。一旦管理员同意该应用程序，因为他们将其作为管理员执行，将代表所有用户同意，因此在此之后其他用户无需同意该应用程序。

有关Azure AD和Azure订阅之间关系的更多详细信息，请参阅以下文章： https://blogs.technet.microsoft.com/ad/2016/02/26/azure-ad-mailbag-azure-subscriptions-and-azure-ad-2/

如果您仍然需要有关如何在Azure AD中将某人设为全局管理员的说明，请参阅以下说明：   - 来自https://azure.microsoft.com/en-us/documentation/articles/active-directory-assign-admin-roles/

1. 在Azure经典门户中，单击“Active Directory”，然后单击组织目录的名称。
2. 在“用户”页面上，单击要编辑的用户的显示名称。
3. 在“组织角色”列表中，选择要分配给该用户的管理员角色，或者如果要删除现有管理员角色，请选择“用户”。
4. 在“备用电子邮件地址”框中，键入电子邮件地址。此电子邮件地址用于重要通知，包括密码自我重置，因此无论用户是否可以访问Azure，用户都必须能够访问电子邮件帐户。
5. 选择允许或阻止以指定是否允许用户登录和访问服务。
6. 从“使用位置”下拉列表中指定位置。
7. 完成后，点击保存