共用方式為

什麼是 Azure 管理群組？

  • 發行項

如果貴組織有多個 Azure 訂閱，您可能需要一個方法來有效率地管理這些訂閱的存取、原則和相容性。 管理群組可以提供訂閱之上的治理範圍。 當您將訂閱組織成管理群組時，這些管理條件會依繼承套用到所有相關聯的訂閱。

無論具有何種類型的訂閱，管理群組都可為您提供企業級的大規模管理功能。 但是，單一管理群組中的所有訂用帳戶都必須信任相同的 Microsoft Entra 租用戶。

例如，您可以將原則套用至管理群組，以限制可建立虛擬機器 (VM) 的區域。 此原則會套用至全部巢狀管理群組、訂閱和資源，以只允許在授權區域中建立 VM。

管理群組與訂用帳戶的階層

您可以建置管理群組和訂用帳戶的彈性結構，以將您的資源組織到階層內，從而獲得統一的原則和存取管理。 下圖顯示使用管理群組建立治理階層的範例。

圖表：管理群組階層範例。

您可以建立套用原則的階層，例如，將 VM 位置限制為名為 Corp 的管理群組中的美國西部區域。此原則會繼承屬於該管理群組子系的所有 Enterprise 合約 （EA） 訂用帳戶，並套用至這些訂用帳戶下的所有 VM。 資源或訂用帳戶擁有者無法改變此安全性原則，以提升治理能力。

注意

Microsoft 客戶合約 (MCA) 訂用帳戶的成本管理功能目前不支援管理群組。

另一個您會使用管理群組的情況是要讓使用者能夠存取多個訂用帳戶。 透過將多個訂用帳戶移至該管理群組底下，您可以在管理群組上建立一個 Azure 角色指派。 角色會繼承所有訂用帳戶的存取權。 只需要單獨對管理群組進行指派，使用者便能存取其所需要的所有內容，無需透過指令碼將 Azure 角色型存取控制 (RBAC) 指派給多個訂用帳戶。

關於管理群組的重要資訊

  • 單一目錄可以支援 10,000 個管理群組。

  • 管理群組樹狀結構最多可支援六個層級的深度。

    這項限制不包含根層級或訂用帳戶層級。

  • 每個管理群組和訂用帳戶僅能支援一個父系。

  • 每個管理群組都可以有許多子系。

  • 在每個目錄中，所有訂用帳戶和管理群組都位於單一的階層內。 如需詳細資訊，請參閱本文稍後有關根管理群組的重要事實。

每個目錄的根管理群組

每個目錄會都會有一個最上層管理群組，名為根管理群組。 這個根管理群組會建置於階層內，讓所有的管理群組和訂閱摺疊於其中。

這個根管理群組允許在目錄層級應用全域原則和 Azure 角色指派。 一開始，將管理所有 Azure 訂用帳戶和管理群組的存取權提升至此根群組的 [使用者存取管理員] 角色。 在租用戶系統管理員提高存取權之後，系統管理員可以將任何 Azure 角色指派給其他目錄使用者或群組來管理階層。 身為管理員，您可以將您的帳戶指派為根管理群組的擁有者。

關於根管理群組的重要事實

  • 根據預設，根管理群組的顯示名稱是租用戶根群組，並自行以管理群組的形式運作。 該 ID 與 Microsoft Entra 租用戶 ID 的值相同。
  • 若要變更顯示名稱，必須在根管理群組中有帳戶擁有者或參與者角色。 如需詳細資訊，請參閱變更管理群組的名稱。
  • 根管理群組不同於其他管理群組，無法移動或刪除。
  • 所有的訂用帳戶和管理群組都可摺疊到目錄內的一個根管理群組中。
    • 目錄中的所有資源可摺疊到根管理群組，以便進行全域管理。
    • 建立新的訂用帳戶時，會自動預設為根管理群組。
  • 所有 Azure 客戶都可以看到根管理群組，但並非所有的客戶都有權管理該根管理群組。
    • 有訂用帳戶存取權的所有人，都可以查看訂用帳戶在階層中的上下內容。
    • 沒有人具有根管理群組的預設存取權。 Microsoft Entra 全域管理員是唯一可以提升自己以取得存取權的使用者。 一旦擁有根管理群組存取權之後，就可以將任何 Azure 角色指派給其他使用者以管理群組。

重要

根管理群組上的任何使用者存取權指派或原則，都會套用至目錄中的所有資源。 由於此存取層級，所有客戶都應評估是否需要在此範圍內定義項目。 在這個範圍內，只應指派「必要」的使用者存取權和原則。

管理群組的初始設定

當任何使用者開始使用管理群組時，會發生初始的設定程序。 第一個步驟是在目錄中建立根管理群組。 該目錄中存在的所有現有訂用帳戶，都會成為根管理群組的子系。

此程序的原因是要確定目錄中只有一個管理群組階層。 目錄內的單一階層可讓系統管理客戶得以套用全域存取權和原則，讓目錄內的其他客戶無法略過。

根目錄上指派的任何項目都適用於整個階層。 也就是說，它會套用至該 Microsoft Entra 租用戶內的所有管理群組、訂用帳戶、資源群組和資源。

管理群組存取

Azure 管理群組支援所有資源存取和角色定義的 Azure RBAC。 階層中存在的子資源會繼承這些權限。 任何 Azure 角色都可以指派給繼承階層至資源的管理群組。

例如，您可以將 Azure 角色 VM 參與者指派給管理群組。 此角色對管理群組沒有動作，但會繼承至該管理群組下的所有 VM。

下圖顯示了角色清單與管理群組上支援的動作。

Azure 角色名稱 建立​​ 重新命名 移動** 刪除 指派存取權 指派原則 參閱
負責人 X X X X X X X
參與者 X X X X X
管理群組參與者* X X 移動詳細數據 X X
讀取者 X
管理群組讀者* X
資源原則參與者 X
使用者存取系統管理員 X X

*：這些角色可讓使用者只在管理群組範圍上執行指定的動作。

**：在根管理群組上的角色指派不需要將訂閱或管理群組來回移動。

移動訂用帳戶和管理群組

移動訂用帳戶和管理群組需要套用不同的角色指派。 若要移動子訂閱或管理群組，需要下列許可權：

  • 要移動的子訂閱或管理群組
    • Microsoft.management/managementgroups/write
    • Microsoft.management/managementgroups/subscriptions/write(僅適用於訂用帳戶)
    • Microsoft.Authorization/roleAssignments/write
    • Microsoft.Authorization/roleAssignments/delete
    • Microsoft.Management/register/action
  • 目標父管理群組
    • Microsoft.management/managementgroups/write
  • 目前的父管理群組
    • Microsoft.management/managementgroups/write

如需在階層內移動專案的詳細資訊，請參閱 使用管理群組管理資源。

Azure 自訂角色定義和指派

您可以將管理群組定義為 Azure 自訂角色定義中的可指派範圍。 Azure 自定義角色可用於該管理群組及其下的任何管理群組、訂用帳戶、資源群組或資源指派。 自定義角色會繼承階層，就像任何內建角色一樣。

如需自訂角色和管理群組限制的相關資訊，請參閱本文中的限制。

範例定義

定義和建立自訂角色並不會隨著管理群組的納入而變更。 使用完整路徑來定義管理群組：/providers/Microsoft.Management/managementgroups/{_groupId_}。

使用管理群組的識別碼，而不是管理群組的顯示名稱。 這個常見錯誤的發生原因是，在建立管理群組時兩者都是自訂定義的欄位。

...
{
  "Name": "MG Test Custom Role",
  "Id": "id",
  "IsCustom": true,
  "Description": "This role provides members understand custom roles.",
  "Actions": [
    "Microsoft.Management/managementGroups/delete",
    "Microsoft.Management/managementGroups/read",
    "Microsoft.Management/managementGroups/write",
    "Microsoft.Management/managementGroups/subscriptions/delete",
    "Microsoft.Management/managementGroups/subscriptions/write",
    "Microsoft.resources/subscriptions/read",
    "Microsoft.Authorization/policyAssignments/*",
    "Microsoft.Authorization/policyDefinitions/*",
    "Microsoft.Authorization/policySetDefinitions/*",
    "Microsoft.PolicyInsights/*",
    "Microsoft.Authorization/roleAssignments/*",
    "Microsoft.Authorization/roledefinitions/*"
  ],
  "NotActions": [],
  "DataActions": [],
  "NotDataActions": [],
  "AssignableScopes": [
        "/providers/microsoft.management/managementGroups/ContosoCorporate"
  ]
}
...

中斷角色定義和指派階層路徑時發生的問題

角色定義是管理群組階層內的可指派範圍。 角色定義可位於父管理群組上，而實際的角色指派存在於子訂用帳戶上。 由於這兩個項目之間有關聯性，因此如果您嘗試將指派與其定義區隔開，就會看到錯誤。

例如，請考慮下列階層的一小段範例。

圖表：管理群組階層範例的子集。

假設沙箱管理群組上定義了一個自訂角色。 接著，該自訂角色會在這兩個沙箱訂用帳戶上指派。

如果您嘗試將其中一個訂用帳戶移至 Corp 管理群組的子系，這會中斷從訂用帳戶角色指派到沙箱管理群組的角色定義的路徑。 在此案例中，收到錯誤，指出不允許移動，因為它會中斷此關聯性。

若要修正這種情況，您有下列幾個選項：

  • 將訂用帳戶移至新的父系管理群組之前，請先從訂用帳戶中移除角色指派。
  • 將訂閱新增至角色定義的可指派範圍。
  • 變更角色定義內的可指派範圍。 在上述範例中，您可以將可指派的範圍從沙箱管理群組更新到根管理群組，讓階層的兩個分支都可以觸達該定義。
  • 在另一個分支中定義另一個自定義角色。 這個新角色也需要變更訂用帳戶上的角色。

限制

在管理群組上使用自訂角色有一定的限制：

  • 您在新角色的可指派範圍中只能定義一個管理群組。 這項限制是為了減少角色定義和角色指派中斷連線的情況。 當具有角色指派的訂用帳戶或管理群組移至沒有角色定義的不同父系時，就會發生這種情況。
  • 無法在管理群組範圍上指派具有 DataActions 的自訂角色。 如需詳細資訊，請參閱自訂角色限制。
  • Azure Resource Manager 不會驗證角色定義的可指派範圍中是否存在管理群組。 如果有錯字或不正確的管理群組識別碼，則仍會建立角色定義。

移動管理群組和訂用帳戶

若要將管理群組或訂用帳戶移為另一個管理群組的子系，您需要：

  • 子訂用帳戶或管理群組上的管理群組寫入權限和角色指派的寫入權限。
    • 內建角色範例：擁有者
  • 目標父管理群組上的管理群組寫入權限。
    • 內建角色範例：擁有者、參與者、管理群組參與者
  • 現有父管理群組上的管理群組寫入權限。
    • 內建角色範例：擁有者、參與者、管理群組參與者

例外狀況：如果目標或現有父管理群組是根管理群組，則不適用權限需求。 因為根管理群組是所有新管理群組和訂閱的預設登陸點，所以您不需要其權限即可移動項目。

如果訂閱上的擁有者角色繼承自目前的管理群組，則您的移動目標會受到限制。 您只能將訂閱移至具有「擁有者」角色的另一個管理群組。 因為您會失去訂用帳戶的擁有權，所以無法將其移至您僅為參與者的管理群組。 如果直接將您指派給訂用帳戶的「擁有者」角色，則可以將其移至您是「參與者」的任何管理群組。

重要

Azure Resource Manager 最多可快取 30 分鐘的管理群組階層的詳細資料。 因此，Azure 入口網站可能不會立即顯示已移動管理群組。

使用活動記錄稽核管理群組

Azure 監視器活動記錄支援管理群組。 您可以在與其他 Azure 資源相同的中央位置，查詢在管理群組中發生的所有事件。 例如，您可以看到對特定的管理群組的所有角色指派或原則指派變更。

與所選管理群組相關的活動記錄和作業螢幕擷取畫面。

要在 Azure 入口網站外部查詢管理群組時，管理群組的目標範圍類似 "/providers/Microsoft.Management/managementGroups/{management-group-id}"。

注意

透過使用 Azure Resource Manager REST API，可以在管理群組上啟用診斷設定，以將相關的 Azure 監視器活動記錄項目傳送至 Log Analytics 工作區、Azure 儲存體或 Azure 事件中樞。 如需詳細資訊，請參閱管理群組診斷設定：建立或更新。

相關內容

若要深入了解管理群組，請參閱：