Connecter Azure
Admin consent for the CostGlass application, Reader and Cost Management Reader roles, management group or subscription scope, and a Terraform version.
Connecter Azure
Approuvez l'application CostGlass une fois dans votre répertoire Microsoft Entra, puis attribuez-lui deux rôles en lecture seule sur les abonnements que vous souhaitez couvrir.
- Aucun secret n'est créé ou collé. You approve CostGlass's own application ("admin consent"), then assign it roles.
- Les rôles sont Lecteur et Lecteur de gestion des coûts. Les deux sont en lecture seule.
- Attribuez-les à un groupe de gestion pour couvrir chaque abonnement ci-dessous, ou sur un seul abonnement.
- Trois manières équivalentes d'attribuer des rôles : le portail, un modèle ARM ou un script. Une version Terraform est sur cette page.
- If your policy forbids third-party applications, use "bring your own service principal" (one subscription only).
- Un administrateur Microsoft Entra (administrateur global, administrateur d'applications ou administrateur d'applications cloud) pour l'étape 1. Il s'agit d'une étape unique.
- Une personne possédant le statut de propriétaire ou d'administrateur d'accès utilisateur sur l'abonnement ou le groupe de gestion, pour l'étape 2. Il peut s'agir d'une autre personne.
- Votre locataire permet aux utilisateurs de se connecter à des applications multi-locataires tierces.
Le débit recommandé
Comptes cloud → Azure. Un bouton démarre le consentement.
The wizard has three steps: Connect Tenant, Grant Access, Verify & Finish.
Abonnement ou groupe de gestion ?
Après vérification, CostGlass recherche un groupe de gestion qu'il peut lire. S'il en trouve un, il interroge les coûts et les ressources dans cette étendue en un seul appel ; sinon, il boucle sur les abonnements qu'il peut voir.
Les trois manières d'attribuer les rôles
Manuel (Portail), la valeur par défaut
Modèle ARM (un abonnement)
On the ARM Template tab click Download Template (costglass-role-assignment.json), then Open Custom Deployment. Dans le portail, choisissez Créez votre propre modèle dans l'éditeur → Charger le fichier, pick the subscription, and for costglassPrincipalId paste the Object ID of the CostGlass enterprise application (Microsoft Entra ID → Applications d'entreprise → CostGlass → ID d'objet). Le modèle ne peut pas cibler un groupe d'administration ; utilisez la méthode Portal pour cela.
Script (Azure CLI)
On the Script tab copy the one-line command, which looks like curl -sSL ".../v1/azure/scripts/assign-roles.sh" | bash -s -- --app-id <CostGlass app ID>. You must be signed in with az login in the consented tenant. It uses your current subscription; add --subscription <id> ou --management-group <id> choisir. Vous pouvez d'abord télécharger le script et le lire.
| Rôle | Accès | Utilisé pour |
|---|---|---|
| Lecteur | Lecture seule | Listage des abonnements et des ressources (inventaire). |
| Lecteur de gestion des coûts | Lecture seule | Lecture des données de coûts. |
| Planificateur de VM CostGlass (facultatif) | Écrire | Démarrez et désallouez des machines virtuelles, lisez et écrivez la capacité des groupes identiques. Rien d'autre. Créé uniquement si vous cochez la case Instance Scheduler. |
| Lecteur de profil de facturation (portée du profil de facturation) | Lecture seule | Crédits, réservations, plans d'épargne, leur utilisation et recommandations d'achat. C’est le seul rôle de facturation demandé par CostGlass, et le suivi des engagements n’a besoin de rien d’autre. |
Équivalent Terraform pour les attributions de rôles
Le consentement à l'étape 1 ne peut pas être obtenu avec Terraform : c'est le seul clic qui nécessite un administrateur d'annuaire. Après cela, l'application d'entreprise CostGlass existe dans votre locataire et vous pouvez gérer ses rôles sous forme de code. Trouvez son ID d'objet sous ID Microsoft Entra → Applications d'entreprise → CostGlass, or with az ad sp show --id <CostGlass app ID> --query id -o tsv (the app ID is in the Script tab command).
Ensemble portée à /subscriptions/<id> ou /providers/Microsoft.Management/managementGroups/<id>. After terraform apply return to CostGlass and click I've granted access — Verify.
Avancé : apportez votre propre principal de service
Choisissez cette option si votre organisation n'autorise pas les applications tierces. Vous créez vous-même l'application et donnez ses informations d'identification à CostGlass. Il couvre un abonnement seulement.
setup-costglass-sp.sh (or use the one-line command) and run it with the Azure CLI. Il nécessite un propriétaire ou un administrateur d'accès utilisateur sur l'abonnement. It creates an app registration named CoûtGlassReadOnly with Reader and Cost Management Reader and prints the credentials. Click Next: Enter Credentials →.Facultatif : affichez vos crédits Azure
Azure applique des crédits (par exemple Crédit d'inscription Azure) lorsqu'il produit votre facture, au profil de facturation, pas sur l'abonnement. That is why Azure's own cost screens show the full usage and CostGlass, which reads the same cost data, showed it too, even when your credit covered all of it and your invoice was £0.
L'assistant de connexion affiche ces étapes dès que vous avez terminé la connexion, et la carte Azure continue de les afficher jusqu'à ce qu'elle fonctionne. With one extra read-only permission, CostGlass also reads your credits from Azure's billing records. Ensuite, Cost Explorer affiche le coût net de crédit (use the credits control to see the gross cost instead), and the Azure card on Settings → Cloud Accounts shows how much credit is left and quand il expire. Le crédit inutilisé est perdu à son expiration. CostGlass ajoute également une note dans Cost Explorer lorsqu'un crédit arrive à expiration dans les 30 jours.
| Ce que tu verras | Ce que cela signifie |
|---|---|
| "Credits not shown" on the Azure card | The role above has not been added yet (or has not taken effect). Costs are unaffected. |
| Crédit appliqué au mois dernier | Exact: the amount on that month's invoice. |
| Crédit appliqué au mois en cours | Azure's own estimate of the credit it will apply to charges so far. It is updated by Azure every few days, so the last day or two of usage can show as cost until it catches up. It is replaced by the exact invoice amount once the invoice is issued. |
Après la connexion
- La carte Comptes Azure connectés affiche chaque connexion avec un badge à l’échelle du locataire pour celles basées sur le consentement, le nombre d’abonnements, les ressources et la dernière synchronisation.
- Le coût et l'inventaire seront renseignés lors de la prochaine synchronisation toutes les 6 heures.
- A connection stuck at pending shows Finish granting access →.
- Utilisez Connecter un autre locataire pour un deuxième locataire Entra (compte dans la limite de votre forfait).
- Se déconnecter de la même carte ou de Comptes cloud.
Azure Instance Scheduler est le seul accès en écriture Azure, et il est facultatif.