Azure verbinden

Admin consent for the CostGlass application, Reader and Cost Management Reader roles, management group or subscription scope, and a Terraform version.

Azure verbinden

Genehmigen Sie die CostGlass-Anwendung einmal in Ihrem Microsoft Entra-Verzeichnis und weisen Sie ihr dann zwei schreibgeschützte Rollen für die Abonnements zu, die Sie abdecken möchten.

Where in CostGlassSettings → Cloud Accounts → Azure
PlanAll plans
Who can do thisAn Entra administrator for the consent; an Owner or User Access Administrator for the roles
Time neededAbout 10 minutes
Kurz und bündig
  • Es wird kein Geheimnis erstellt oder eingefügt. You approve CostGlass's own application ("admin consent"), then assign it roles.
  • Die Rollen sind „Leser“ und „Kostenmanagement-Leser“. Beide sind schreibgeschützt.
  • Weisen Sie sie einer Verwaltungsgruppe zu, um jedes darunter liegende Abonnement oder ein Abonnement abzudecken.
  • angezeigt Drei gleichwertige Möglichkeiten zum Zuweisen von Rollen: das Portal, eine ARM-Vorlage oder ein Skript. Eine Terraform-Version finden Sie auf dieser Seite.
  • If your policy forbids third-party applications, use "bring your own service principal" (one subscription only).
Bevor Sie beginnen
  • Ein Microsoft Entra-Administrator (Globaler Administrator, Anwendungsadministrator oder Cloud-Anwendungsadministrator) für Schritt 1. Es handelt sich um einen einmaligen Schritt.
  • Jemand mit Besitzer- oder Benutzerzugriffsadministrator im Abonnement oder in der Verwaltungsgruppe für Schritt 2. Dies kann eine andere Person sein.
  • Ihr Mandant ermöglicht Benutzern die Anmeldung bei mehrinstanzenfähigen Anwendungen von Drittanbietern.

Der empfohlene Fluss

Cloud-Konten → Azure. Ein Knopfdruck startet die Einwilligung.

The wizard has three steps: Connect Tenant, Grant Access, Verify & Finish.

1
Start
Go to Settings → Cloud Accounts, open the Azure tab and click Connect with Microsoft on Step 1: Connect Your Azure Tenant. Wenn die Schaltfläche deaktiviert ist, ist die Ein-Klick-Verbindung bei dieser CostGlass-Bereitstellung nicht konfiguriert: Wenden Sie sich an den Support oder verwenden Sie den unten stehenden erweiterten Ablauf.
2
Akzeptieren Sie auf der Microsoft-Seite
Melden Sie sich als Entra-Administrator an und akzeptieren Sie die Berechtigungsanfrage. Dadurch wird Ihrem Mandanten eine Unternehmensanwendung namens CostGlass hinzugefügt. CostGlass sieht Ihr Passwort nie. Die App verlangt keine Microsoft Graph-Berechtigungen.
3
Zurück zu CostGlass
You land back on Step 2: Grant Reader + Cost Management Reader. Der Mieter ist erfasst, hat aber noch keinen Zutritt: Das ist gewollt, den Umfang wählen Sie als nächstes. Wenn die Zustimmung fehlschlägt, wird auf der Seite die Microsoft-Fehlermeldung angezeigt.
4
Weisen Sie die beiden Rollen zu
Verwenden Sie eine der drei folgenden Methoden. The optional checkbox "Also enable Instance Scheduler (optional — write access)" adds a VM start and stop role; leave it off for read-only.
5
Verifizieren
Click I've granted access — Verify. CostGlass listet die jetzt sichtbaren Abonnements auf, sucht nach einer Verwaltungsgruppe und markiert die Verbindung als aktiv. Ein Erfolgspanel berichtet, wie viele Abonnements entdeckt wurden.
Hinweis
Es kann einige Minuten dauern, bis Azure eine neue Rollenzuweisung übernimmt. Wenn Verify angibt, dass noch kein Abonnement Leserzugriff gewährt, warten Sie zwei Minuten und versuchen Sie es erneut.

lesen kann Abonnement oder Verwaltungsgruppe?

Management groupWhole tenant
Weisen Sie die Rollen einer Verwaltungsgruppe zu (die Stammgruppe deckt alles ab). Ein Zuschuss deckt jedes darunter liegende Abonnement ab, einschließlich der später hinzugefügten. Verwenden Sie die Portal-Methode.
Ein Abonnement
Weisen Sie die Rollen im Abonnement zu. Wählen Sie diese Option, wenn Sie nur bestimmte Abonnements wünschen. Wiederholen Sie dies pro Abonnement oder verwenden Sie für jedes die ARM-Vorlage oder das ARM-Skript.

Nach der Überprüfung sucht CostGlass nach einer Verwaltungsgruppe, die es lesen kann. Wenn es einen findet, fragt es Kosten und Ressourcen in diesem Bereich in einem einzigen Aufruf ab; andernfalls durchläuft es die Abonnements, die es sehen kann.

Die drei Möglichkeiten, die Rollen zuzuweisen

Manuell (Portal), die Standardeinstellung

1
Öffnen Sie den Bereich
Öffnen Sie im Azure-Portal das Abonnement oder eine Verwaltungsgruppe für die mandantenweite Abdeckung.
2
Öffnen Sie IAM
Klicken Zugangskontrolle (IAM).
3
Fügen Sie die erste Rolle
Klicken + Hinzufügen → Rollenzuweisung hinzufügen, wählen Leser, klicken Sie auf Nächste.
4
Wählen Sie CostGlass
Unter Mitglieder Klicken Sie auf + Mitglieder auswählen, suchen Sie nach CostGlass, wählen Sie es aus, dann Überprüfen + zuweisen (zweimal).
5
Fügen Sie die zweite Rolle hinzu
Wiederholen Sie dies für Kostenmanagement-Reader.

ARM-Vorlage (ein Abonnement)

On the ARM Template tab click Download Template (costglass-role-assignment.json), then Open Custom Deployment. Wählen Sie im Portal Erstellen Sie Ihre eigene Vorlage im Editor → Datei laden, pick the subscription, and for costglassPrincipalId paste the Object ID of the CostGlass enterprise application (Microsoft Entra ID → Unternehmensanwendungen → CostGlass → Objekt-ID). Die Vorlage kann nicht auf eine Verwaltungsgruppe abzielen. Verwenden Sie dazu die Portal-Methode.

Skript (Azure CLI)

On the Script tab copy the one-line command, which looks like curl -sSL ".../v1/azure/scripts/assign-roles.sh" | bash -s -- --app-id <CostGlass app ID>. You must be signed in with az login in the consented tenant. It uses your current subscription; add --subscription <id> oder --management-group <id> zu wählen. Sie können das Skript zunächst herunterladen und lesen.

RolleZugriffWird für
LeserSchreibgeschütztAbonnements und Ressourcen auflisten (Inventar).
Kostenmanagement-ReaderSchreibgeschütztKostendaten lesen.
des Schlüssels angezeigt CostGlass VM Scheduler (optional)Schreiben SieStarten und Freigeben virtueller Maschinen, Lesen und Schreiben von Skalierungsgruppenkapazitäten. Sonst nichts. Wird nur erstellt, wenn Sie das Kontrollkästchen Instanzplaner aktivieren.
an Abrechnungsprofilleser (Abrechnungsprofilbereich)SchreibgeschütztGutschriften, Reservierungen, Sparpläne, deren Nutzung und Kaufempfehlungen. Dies ist die einzige Abrechnungsrolle, die CostGlass verlangt, und für die Verpflichtungsverfolgung ist nichts darüber hinaus erforderlich.

Terraform-Äquivalent für die Rollenzuweisungen

Die Zustimmung in Schritt 1 kann mit Terraform nicht erfolgen: Es ist der eine Klick, der einen Verzeichnisadministrator erfordert. Danach ist die CostGlass-Unternehmensanwendung in Ihrem Mandanten vorhanden und Sie können ihre Rollen als Code verwalten. Finden Sie es Objekt-ID unter Microsoft Entra ID → Unternehmensanwendungen → CostGlass, or with az ad sp show --id <CostGlass app ID> --query id -o tsv (the app ID is in the Script tab command).

main.tf (azurerm ~> 4.0)

Satz Umfang zu /subscriptions/<id> oder /providers/Microsoft.Management/managementGroups/<id>. After terraform apply return to CostGlass and click I've granted access — Verify.

Handgepflegt
Dies spiegelt die Rollen wider, die das Portal, die ARM-Vorlage und das Skript gewähren. Die ARM-Vorlage und das Skript im Assistenten dienen als Referenz. Vergleichen Sie, ob CostGlass sie ändert.

Erweitert: Bringen Sie Ihren eigenen Dienstprinzipal mit

Wählen Sie diese Option, wenn Ihre Organisation keine Anwendungen von Drittanbietern zulässt. Sie erstellen die Anwendung selbst und geben CostGlass seine Referenzen. Es deckt ab ein Abonnement nur.

1
Öffnen Sie den erweiterten Ablauf
On the Azure tab click Advanced: bring your own service principal instead.
2
Erstellen Sie den Prinzipal
Step 1: Create a Read-Only Service Principal: download setup-costglass-sp.sh (or use the one-line command) and run it with the Azure CLI. Für das Abonnement ist ein Eigentümer oder ein Benutzerzugriffsadministrator erforderlich. It creates an app registration named CostGlassReadOnly with Reader and Cost Management Reader and prints the credentials. Click Next: Enter Credentials →.
3
Fügen Sie die Werte
Fill Tenant ID, Client (App) ID, Client Secret, Subscription ID and optionally Account Display Label, then click Connect Azure Subscription. CostGlass testet zunächst die Anmeldeinformationen. Das Geheimnis wird verschlüsselt in einem Geheimtresor gespeichert.
Tipp
Von der Azure CLI erstellte Geheimnisse laufen ab. Beachten Sie das Ablaufdatum; Wenn der Vorgang erfolgreich ist, stoppt die Kostensynchronisierung, bis Sie ein neues Geheimnis erstellen und die Verbindung wiederherstellen.

Optional: Zeigen Sie Ihre Azure-Credits

Azure wendet Gutschriften (zum Beispiel die Guthaben für die Azure-Registrierung), wenn Ihre Rechnung erstellt wird, am Abrechnungsprofil, nicht auf dem Abonnement. That is why Azure&#x27;s own cost screens show the full usage and CostGlass, which reads the same cost data, showed it too, even when your credit covered all of it and your invoice was £0.

Der Verbindungsassistent zeigt diese Schritte an, sobald Sie die Verbindung hergestellt haben, und die Azure-Karte zeigt sie so lange an, bis sie funktioniert. With one extra read-only permission, CostGlass also reads your credits from Azure&#x27;s billing records. Dann zeigt Cost Explorer die Kosten abzüglich Guthaben (use the credits control to see the gross cost instead), and the Azure card on Settings → Cloud Accounts shows how much credit is left and wenn es abläuft. Ungenutztes Guthaben geht verloren, wenn es abläuft. Deshalb fügt CostGlass im Cost Explorer auch eine Notiz hinzu, wenn ein Guthaben innerhalb von 30 Tagen abläuft.

1
Öffnen Sie Ihr Rechnungsprofil
In the Azure portal open Cost Management + Billing, then Billing profiles and choose the profile that pays for your subscription.
2
Fügen Sie die Rolle
Open Access control (IAM), choose Add, pick the role Billing profile reader and select the CostGlass Dienstprinzipal (Unternehmensanwendung). It can&#x27;t change anything: it can only read.
3
Überprüfen Sie es
Back on the Azure card choose Check again. CostGlass testet den Zugriff sofort und teilt Ihnen mit, ob Azure ihn immer noch verweigert (die Übernahme einer neuen Rolle kann einige Minuten dauern). Andernfalls wird es bei der nächsten Synchronisierung übernommen, die regelmäßig ausgeführt wird (etwa alle 6 Stunden).
Was Sie sehen werdenWas es bedeutet
"Credits not shown" on the Azure cardThe role above has not been added yet (or has not taken effect). Costs are unaffected.
Auf einen vergangenen Monat angewendetes GuthabenExact: the amount on that month's invoice.
Auf den aktuellen Monat angewendetes GuthabenAzure's own estimate of the credit it will apply to charges so far. It is updated by Azure every few days, so the last day or two of usage can show as cost until it catches up. It is replaced by the exact invoice amount once the invoice is issued.
Hinweis
Credits werden gelesen Microsoft-Kundenvereinbarung Abrechnungsprofile (der übliche Kontotyp für neue Azure-Anmeldungen und nutzungsbasierte Bezahlung). Für andere Vertragstypen (z. B. ein Enterprise Agreement) werden Credits nicht angezeigt. Bei mehreren Abonnements für ein Abrechnungsprofil wird das Guthaben proportional zu ihrer Nutzung zwischen ihnen aufgeteilt, da Azure es auf das Profil und nicht auf ein einzelnes Abonnement anwendet. Verbindungen, die über den Azure-Kostenexport gespeist werden, erhalten stattdessen Gutschriften aus dem Export und benötigen keine zusätzlichen Kosten.

Nach dem Verbinden

  • Die Karte „Verbundene Azure-Konten“ zeigt jede Verbindung mit einem mandantenweiten Abzeichen für zustimmungsbasierte Verbindungen, Abonnementanzahl, Ressourcen und letzte Synchronisierung an.
  • Kosten und Lagerbestand werden bei der nächsten 6-Stunden-Synchronisierung aktualisiert.
  • A connection stuck at pending shows Finish granting access →.
  • Verwenden Sie „Anderen Mieter verbinden“ für einen zweiten Entra-Mieter (wird auf Ihr Planlimit angerechnet).
  • Trennen Sie die Verbindung von derselben Karte oder von Cloud-Konten.

Azure Instance Scheduler ist der einzige Azure-Schreibzugriff und erfolgt optional.

Warum benötigt CostGlass eine Unternehmensanwendung in meinem Mandanten?
Auf diese Weise ermöglicht Azure, dass einem Dritten Rollen zugewiesen werden, ohne dass ein Geheimnis preisgegeben wird. Die Anwendung wird mit Ihrer Zustimmung als Administrator erstellt und Sie können sie jederzeit aus Unternehmensanwendungen entfernen.
Ich kann CostGlass beim Hinzufügen der Rolle nicht finden.
Die Einwilligung in Schritt 1 wurde in diesem Mieter nicht abgeschlossen, oder Sie befinden sich in einem anderen Mieter. Wiederholen Sie Schritt 1 als Entra-Administrator.
Verify says "no subscription grants Reader access yet".
Die Rollen werden nicht in einem Bereich zugewiesen, den CostGlass sehen kann, oder sie wurden nicht weitergegeben. Überprüfen Sie, ob CostGlass beide Rollen zugewiesen sind, warten Sie ein paar Minuten und überprüfen Sie es erneut.
Was ist besser, ein Abonnement oder eine Verwaltungsgruppe?
Eine Verwaltungsgruppe, wenn Sie möchten, dass alles und zukünftige Abonnements durch einen einzigen Zuschuss abgedeckt werden.
Wie entferne ich den Zugriff?
Trennen Sie die Verbindung in CostGlass, löschen Sie dann die Rollenzuweisungen und, wenn Sie möchten, die CostGlass-Unternehmensanwendung in Entra.

Verwandte Anleitungen