Conectar Azure
Admin consent for the CostGlass application, Reader and Cost Management Reader roles, management group or subscription scope, and a Terraform version.
Conectar Azure
Apruebe la aplicación CostGlass una vez en su directorio de Microsoft Entra y luego asígnele dos funciones de solo lectura en las suscripciones que desea cubrir.
- No se crea ni se pega ningún secreto. You approve CostGlass's own application ("admin consent"), then assign it roles.
- Los roles son Lector y Lector de gestión de costos. Ambos son de sólo lectura.
- Asígnalos en un grupo de administración para cubrir todas las suscripciones siguientes o en una sola suscripción.
- Tres formas equivalentes de asignar roles: el Portal, una plantilla ARM o un script. Hay una versión de Terraform en esta página.
- If your policy forbids third-party applications, use "bring your own service principal" (one subscription only).
- Un administrador de Microsoft Entra (administrador global, administrador de aplicaciones o administrador de aplicaciones en la nube) para el paso 1. Es un paso único.
- Alguien con propietario o administrador de acceso de usuario en la suscripción o grupo de administración, para el paso 2. Puede ser una persona diferente.
- Su inquilino permite a los usuarios iniciar sesión en aplicaciones multiinquilino de terceros.
El flujo recomendado
Cuentas en la nube → Azure. Un botón inicia el consentimiento.
The wizard has three steps: Connect Tenant, Grant Access, Verify & Finish.
¿Suscripción o grupo de gestión?
Después de la verificación, CostGlass busca un grupo de administración que pueda leer. Si encuentra uno, consulta el costo y los recursos en ese ámbito en una sola llamada; de lo contrario, recorrerá las suscripciones que puede ver.
Las tres formas de asignar los roles
Manual (Portal), el valor predeterminado
Plantilla ARM (una suscripción)
On the ARM Template tab click Download Template (costglass-role-assignment.json), then Open Custom Deployment. En el Portal elija Cree su propia plantilla en el editor → Cargar archivo, pick the subscription, and for costglassPrincipalId paste the Object ID of the CostGlass enterprise application (Microsoft Entra ID → Aplicaciones empresariales → CostGlass → ID de objeto). La plantilla no puede apuntar a un grupo de administración; utilice el método Portal para eso.
Secuencia de comandos (Azure CLI)
On the Script tab copy the one-line command, which looks like curl -sSL ".../v1/azure/scripts/assign-roles.sh" | bash -s -- --app-id <CostGlass app ID>. You must be signed in with az login in the consented tenant. It uses your current subscription; add --subscription <id> o --management-group <id> elegir. Puede descargar el script primero y leerlo.
| Rol | Acceso | Utilizado para |
|---|---|---|
| Lector | Sólo lectura | Listado de suscripciones y recursos (inventario). |
| Lector de gestión de costos | Sólo lectura | Lectura de datos de costos. |
| Programador de VM CostGlass (opcional) | Escribir | Inicie y desasigne máquinas virtuales, lea y escriba la capacidad del conjunto de escala. Nada más. Creado solo si marca la casilla de verificación Programador de instancias. |
| Lector de perfiles de facturación (alcance del perfil de facturación) | Sólo lectura | Créditos, reservas, planes de ahorro, su utilización y recomendaciones de compra. Esta es la función de facturación que solicita CostGlass y el seguimiento del compromiso no necesita nada más. |
Equivalente de Terraform para las asignaciones de roles
El consentimiento en el paso 1 no se puede dar con Terraform: es el único clic que necesita un administrador de directorio. Después, la aplicación empresarial CostGlass existe en su inquilino y puede administrar sus funciones como código. Encuentra su ID de objeto bajo Microsoft Entra ID → Aplicaciones empresariales → CostGlass, or with az ad sp show --id <CostGlass app ID> --query id -o tsv (the app ID is in the Script tab command).
Colocar alcance a /subscriptions/<id> o /providers/Microsoft.Management/managementGroups/<id>. After terraform apply return to CostGlass and click I've granted access — Verify.
Avanzado: traiga su propio director de servicio
Elija esto si su organización no permitirá aplicaciones de terceros. Usted mismo crea la aplicación y le da a CostGlass sus credenciales. Cubre una suscripción solo.
setup-costglass-sp.sh (or use the one-line command) and run it with the Azure CLI. Necesita propietario o administrador de acceso de usuario en la suscripción. It creates an app registration named CostoGlassReadOnly with Reader and Cost Management Reader and prints the credentials. Click Next: Enter Credentials →.Opcional: muestra tus créditos de Azure
Azure aplica créditos (por ejemplo, el Crédito de registro de Azure) cuando presente su factura, en el perfil de facturación, no en la suscripción. That is why Azure's own cost screens show the full usage and CostGlass, which reads the same cost data, showed it too, even when your credit covered all of it and your invoice was £0.
El asistente de conexión muestra estos pasos tan pronto como termina de conectarse y la tarjeta de Azure los sigue mostrando hasta que funciona. With one extra read-only permission, CostGlass also reads your credits from Azure's billing records. Luego Cost Explorer muestra el costo neto de crédito (use the credits control to see the gross cost instead), and the Azure card on Settings → Cloud Accounts shows how much credit is left and cuando caduca. El crédito no utilizado se pierde cuando vence, por lo que CostGlass también agrega una nota en Cost Explorer cuando un crédito está dentro de los 30 días de su vencimiento.
| lo que veras | lo que significa |
|---|---|
| "Credits not shown" on the Azure card | The role above has not been added yet (or has not taken effect). Costs are unaffected. |
| Crédito aplicado al mes pasado | Exact: the amount on that month's invoice. |
| Crédito aplicado al mes actual | Azure's own estimate of the credit it will apply to charges so far. It is updated by Azure every few days, so the last day or two of usage can show as cost until it catches up. It is replaced by the exact invoice amount once the invoice is issued. |
Después de conectar
- La tarjeta Cuentas de Azure conectadas muestra cada conexión con una insignia para todo el inquilino para las basadas en consentimiento, el recuento de suscripciones, los recursos y la última sincronización.
- El costo y el inventario se completan en la próxima sincronización de 6 horas.
- A connection stuck at pending shows Finish granting access →.
- Utilice Conectar a otro inquilino para un segundo inquilino de Entra (cuenta para el límite de su plan).
- Desconectarse de la misma tarjeta o de Cuentas en la nube.
Azure Instance Scheduler es el único acceso de escritura de Azure y es opcional.