获取Azure AD主体的所有角色分配

Question

我有一个具有多个订阅和资源的Azure环境。我的要求是拥有这样一种功能：如果我传递用户名或SPN名称，它将为我提供所有azure资源（从管理组到azure资源），该用户/SPN可以访问这些资源，以及该资源的访问权限（读卡器/数据读卡器等）。

主要的问题是-我也想要PIM角色分配。有办法得到它吗？

探讨的选择

1. https://docs.microsoft.com/en-us/rest/api/authorization/role-assignments但这会给每个作用域分配角色。我想每个用户/spn
2. https://docs.microsoft.com/en-us/azure/role-based-access-control/role-assignments-list-portal它不包括PIM分配，只给每个订阅分配
3. Azure资源图资源管理器-这根本不包括角色分配

除了迭代50个订阅，获取每个作用域的角色分配，然后比较对象id之外，还有更好的方法吗？

Answer 1

您可以使用下面的Powershell脚本获取多个订阅中服务主体名称的角色分配。

Connect-AzAccount
$tenantID = "yourTenantID"
$spn = "serviceprincipalname"
$user= Get-AzADUser -UserPrincipalName $spn
$subscriptions = Get-AzSubscription -TenantId $tenantID
#$subscriptions.Id
foreach ($subscription in $subscriptions) {
$set = Set-AzContext -Subscription $subscription
$set
$roleassignment= Get-AzRoleAssignment -ObjectId $user.Id
$roleassignment
}

输出：

参考：

安装Azure Az PowerShell模块| Microsoft文档