了解并使用范围功能

了解范围对于在Azure中有效管理和分析成本至关重要。 范围是一种边界类型，例如订阅、资源组或计费帐户，用户可以根据分配的角色和权限查看、管理和分析成本数据。 本指南介绍Microsoft 成本管理中可用的范围类型、它们与角色和权限的关系，以及它们如何应用于 Azure 门户中的成本管理体验及其 API。

范围类型

成本管理允许用户在任何有权访问的范围级别查看和管理成本。 每个范围都提供成本数据的可见性，并支持预算、导出和成本优化功能。 成本管理中使用了两种类型的范围：

• Azure RBAC 作用域：这些作用域是 Azure 资源层次结构的一部分，Microsoft Entra 用户可以在这些作用域中访问和管理服务，包括订阅、资源组、资源和管理组。
• 计费范围：这些范围是比 Azure 订阅级别更高的容器。 它们有助于组织和管理计费，例如付款和发票，以及云服务，例如成本跟踪和策略管理。 这些范围包括注册协议（EA）、EA 部门和 EA 帐户、Microsoft 客户协议（MCA）、计费配置文件和发票科目。

Azure RBAC 范围

Azure RBAC 范围用于管理Azure资源的访问和管理，包括但不限于成本管理。 这些包括：

• Subscriptions - 用于Azure资源的容器。

  资源类型：Microsoft.Resources/subscriptions

• 资源组 - 共享同一生命周期Azure解决方案相关资源的逻辑分组。 例如，一同部署和一同删除的资源。 资源组嵌套在订阅中。

  资源类型：Microsoft.Resources/subscriptions/resourceGroups

• 管理组 - 将订阅组织到层次结构中。 一个管理组树最多可支持六个级别的深度。 限制不包括根级别或订阅级别。 例如，可以使用管理组创建逻辑组织层次结构，然后为生产工作负荷和开发/测试工作负荷提供团队订阅。 之后，可以在订阅中创建资源组来管理每个子系统或组件。

  资源类型：Microsoft。Management/managementGroups

在 RBAC 范围中进行成本管理时使用的角色

在作用域内，可以为角色授予权限，以允许Microsoft Entra用户和组执行预定义的一组操作。 不同的角色启用不同的操作集合。 在成本管理的上下文中，角色可以启用访问以查看成本数据，并配置操作，如管理预算和数据导出。 角色通过Azure Role-Based 访问控制（RBAC）进行定义和控制。 在特定范围内定义的角色会自动应用于其子范围。 例如，分配到管理组范围的角色还可以向嵌套的订阅和资源组授予相同的权限。

成本管理支持以下内置角色：

• 所有者 – 完全访问成本数据，包括成本配置。
• 参与者 – 完全访问成本数据和成本配置，不包括访问控制。
• 查看者 - 仅查看访问权限。
• 成本管理参与者 – 完全访问成本数据，包括成本配置和查看建议。
• 成本管理读取者 – 仅查看对成本数据和建议的访问权限。

成本管理参与者是建议的最低特权角色。 此角色允许用户创建和管理预算和管理导出，以更有效地监视和报告成本。 但是，成本管理参与者可能还需要更多角色来支持复杂的成本管理方案。 请考虑以下方案和建议添加的角色：

• 资源使用情况报告 - 成本管理提供了详细的费用，有助于发现资源消耗方式的模式。 此粒度级别支持在资源级别进行深入分析。 如果需要更详细的指标（例如性能计数器或日志），请考虑在同一计费或 RBAC 范围内分配 监视读取者 角色。 这会授予对Azure Monitor的访问权限，以提高可见性。
• 响应预算超限 – 若要在预算阈值超出时自动做出响应，用户需要的不仅仅是 成本管理参与者 角色。 它们还必须具有创建和管理 作组的权限，这些组用于触发警报或自动化。 在包含操作组的资源组级别上分配 监视参与者 角色。 此外，如果需要自动操作（如运行脚本或工作流），则需要为特定服务操作（如自动化或Azure Functions）授予角色。
• 计划成本数据导出 – 若要使成本管理能够将数据导出到存储帐户，用户需要的不仅仅是 成本管理参与者 角色。 它们还必须具有管理目标存储帐户的权限。 在包含导出成本数据的存储帐户的资源组级别，分配存储帐户参与者角色。
• 根据节省成本的建议进行作 - 默认情况下，成本管理读者和成本管理参与者都可以 查看 成本建议。 但是，若要处理这些建议，例如调整资源大小或关闭资源，用户还必须有权访问所涉及的特定资源。 若要启用此访问权限，请在相关范围内分配适当的 特定于服务的角色 （例如虚拟机参与者、SQL DB 参与者）。

RBAC 范围内每个角色的特性行为

下表概述了分配给 Azure RBAC 范围（订阅/资源组/管理组）内每个角色的权限，这些权限适用于各种成本管理功能。 例如，作为订阅所有者，只能在成本分析中查看报表（“视图”），但可以创建共享视图和预算。

请记住，成本管理读取者和成本管理参与者角色不提供对发票的访问权限。 有关详细信息，请参阅如何授予对发票的访问权限。

计费范围

计费范围因Microsoft协议类型而异：

• 企业协议（EA）： 包括计费帐户、部门和注册帐户。
• Microsoft 客户协议（MCA）：包括计费帐户、计费配置文件和发票科目。
• 云解决方案提供商（CSP）：包括计费帐户、计费配置文件和客户。

企业协议计费范围

企业协议（EA）也称为注册，具有以下计费范围：

• 计费帐户 - 表示 EA 注册，是生成发票的范围。 在实际和摊销成本数据集中，所有购买和使用费均在此范围内可见，但有一些重要的区别。

  实际成本数据集包括来自 Azure、Marketplace 和 Microsoft 365 计划/服务的所有计量使用费用。 它还包括在市场或 Microsoft 365 上的购买，以及承诺基础的权益（例如预留和储蓄计划）。 该权益抵消了费用，因此承诺涵盖的使用情况记录显示为零成本。

  摊余成本数据集还包括所有使用情况记录、Marketplace和Microsoft 365购买。 但是，承诺制购买不会直接显示，因为其成本已经被摊销，并应用于福利被消耗的使用场景。 因此，在实际成本数据集中显示为零成本的相同使用量，在摊销成本数据集中显示费用。 摊销成本数据集与发票不匹配，因为它反映摊销的分配，而不是计费金额。

  在此处了解有关摊销 成本的详细信息，请查看摊销权益成本。

  资源类型：Microsoft.Billing/billingAccounts (accountType = Enrollment)

• 部门 - 对计费帐户中的注册帐户进行可选分组。 此范围适用使用费。 购买，例如市场购买和基于承诺的权益（如预留），在此范围内不可用。

  资源类型：Billing/billingAccounts/departments

• 注册帐户 - 表示单个帐户，并具有一个帐户所有者。 不支持授予对多个用户的访问权限，以充当帐户所有者。 在此范围内适用使用费用。 像市场和预订这样的购买在此平台上不可用。

  资源类型：Microsoft.Billing/billingAccounts/enrollmentAccounts

尽管 RBAC 范围绑定到单个目录，但 EA 计费范围不是。 EA计费帐户可以在多个 Microsoft Entra 目录中拥有订阅。

企业协议范围中成本管理所使用的角色

计费帐户角色

• 企业管理员 - 可以查看所有成本数据。 可以管理计费帐户设置和控制谁可以查看成本详细信息，例如启用帐户所有者（AO）或部门管理员（DA）以查看费用。 具有此角色的用户在同一注册内自动在部门和帐户范围内具有相同的权限。
• 企业只读用户 – 可以查看计费帐户设置、成本数据和成本配置，但无法修改它们。 可以管理预算和导出。 具有此角色的用户在同一注册内自动在部门和帐户范围内具有相同的权限。

在注册协议范围内的每个角色的特性表现

部门角色

• 部门管理员 – 当企业管理员在计费帐户中启用“DA 查看费用”时，可以查看所有成本。 可以管理部门设置，例如成本中心和名称。 可以管理预算和导出。 可以在帐户的范围查看和管理相同内容。
• 部门只读用户 – 可以查看部门设置、成本数据和成本配置。 可以管理预算和导出。 也可以在帐户范围内查看相同的内容。

为使部门管理员和具有只读权限的用户能够查看成本，必须启用计费帐户 DA 查看费用 设置。 如果禁用了“DA 查看费用”选项，则即使部门用户是帐户或订阅所有者，他们也无法在任何级别查看成本。

注册部门范围内每个角色的功能行为

帐户角色

• 帐户所有者 – 可以管理注册帐户设置（例如成本中心）、查看所有成本，以及管理注册帐户的成本配置（例如预算和导出）。 必须为帐户所有者和 Azure RBAC 用户启用计费帐户 AO 视图费用设置才能查看成本。

Azure订阅嵌套在注册帐户下。 在计费范围内被分配角色的用户，可以访问其各自范围内订阅和资源组的成本数据。 但是，他们无权在Azure门户中查看或管理实际资源。 用户可以在Azure门户中导航到 Cost Management + Billing 服务来查看成本。 然后，他们可以根据分析或报告所需的特定订阅和资源组筛选成本。

具有计费范围角色的用户无权访问管理组，因为它们不属于特定的计费帐户。 必须向管理组显式授予访问权限。 管理组汇总来自所有嵌套订阅的基于使用情况的成本。 但是，它们不包括购买（如预留和第三方市场产品/ 服务）。 若要查看这些成本，应使用 EA 计费帐户范围。

注册帐户范围内每个角色的功能行为

Microsoft 客户协议 范围说明

Microsoft 客户协议（MCA）计费帐户具有以下范围：

• 计费帐户 - 表示多个Microsoft产品和服务的客户协议。 客户协议计费帐户在功能上与 EA 注册不同。 EA 的注册流程更加匹配计费配置文件。

  资源类型：Microsoft.Billing/billingAccounts (accountType = Organization)

• 计费配置文件 - 对发票中包含的所有订阅进行分组。 计费配置文件在功能上相当于 EA 注册，因为发票正是在该范围内生成的。 同样，非基于用量的购买项目（例如市场和预留）仅在此范围可用。 它们不会包含在发票科目中。

  资源类型：Microsoft.Billing/billingAccounts/billingProfiles

• 发票部分 - 允许将计费文件中的订阅分组为一张发票中的各个部分。 发票科目类似于部门 — 多个人员可以访问某个发票科目。

  资源类型：Microsoft.Billing/billingAccounts/invoiceSections

• 客户 - 表示与合作伙伴加入 MCA 的特定客户关联的一组订阅。 此范围特定于云解决方案提供商 (CSP)。

单个Microsoft Entra目录管理 MCA 计费帐户，与 EA 计费范围不同。 但是，MCA 计费帐户可以具有关联订阅，这些订阅可能位于不同目录中。

MCA 计费范围不适用于合作伙伴。 分配用户角色和权限中介绍了合作伙伴角色和权限。

在 Microsoft 客户协议范围内使用的成本管理角色

MCA 计费范围支持以下角色：

• 所有者 – 可以管理计费设置和访问权限、查看所有成本，以及管理成本配置。 例如预算和导出。 在功能上，在成本管理的上下文中，此角色与 Cost Management 参与者 Azure 角色 相同。
• 参与者 – 可以管理计费设置（访问权限除外）、查看所有成本，以及管理成本配置。 例如预算和出口。 在成本管理的上下文中，这个角色与 Cost Management 参与者 Azure 角色 相同。
• 读取者 – 可以查看计费设置、成本数据和成本配置。 可以管理预算和导出。
• 发票管理者 – 可以查看和支付发票，并可以查看成本数据和配置。 可以管理预算和导出。
• Azure订阅创建者 – 可以创建Azure订阅、查看成本和管理成本配置。 例如预算和出口。 在函数中，此 MCA 角色与 EA 注册帐户所有者角色相同。

Azure订阅嵌套在发票部分下，类似于在 EA 注册帐户下。 计费用户有权在其各自范围下访问订阅和资源组的成本数据。 但是，他们无权在Azure门户中查看或管理资源。 计费用户可以通过导航到Azure门户服务列表中的 Cost Management + Billing 来查看成本。 然后，按照需要报告的特定订阅和资源组筛选成本。

计费用户无权访问管理组，因为他们并不直接属于计费帐户。 但是，当为组织启用管理组时，所有订阅成本都会合并到计费帐户和根管理组，因为二者都受限于单个目录。 管理群组仅包括基于使用情况的费用。 预订和第三方市场产品等购买不会包含在管理组中。 因此，计费帐户和根管理组可能会报告不同的总金额。 若要查看成本（包括购买），请使用计费帐户或相应的计费配置文件范围。

MCA 计费账户范围中每个角色的特性行为

MCA 计费配置文件范围中每个角色的功能表现

MCA 发票部分范围内每个角色的功能表现

云解决方案提供商 （CSP） 范围

对于拥有 Microsoft 客户协议的客户的云解决方案提供商 (CSP)，支持以下范围：

• 计费帐户 - 表示合作伙伴与Microsoft合作伙伴协议下的关系。 它包括每种货币的计费配置文件，并支持管理发票、付款和客户费用。 虽然在目的上类似，但客户协议下的计费账户在结构上与 EA 订阅不同。EA 订阅更接近于计费配置文件和企业级层次结构。

  资源类型：Microsoft.Billing/billingAccounts (accountType = Organization)

• 计费配置 - 对发票中所包含的订阅进行分组。 计费配置文件在功能上相当于 EA 协议注册，因为发票是在该范围内生成的。 同样，购买（如应用市场和预留）仅限于此范围可用。

  资源类型：Microsoft.Billing/billingAccounts/billingProfiles

• 客户 - 表示一组订阅，这些订阅与合作伙伴加入 MCA 的特定客户相关联。

CSP 范围中使用的角色

只有具有 Admin 代理和计费管理员角色的用户可以直接在合作伙伴的Azure租户中管理和查看计费帐户、计费配置文件和客户的成本。

只有当客户拥有 MCA 时，成本管理才支持 CSP 合作伙伴的客户。

成本管理不支持 CSP 范围内的管理组。 如果你有 CSP 订阅，并且尝试在成本分析中将范围设置为管理组，则会显示如下错误：

Management group <ManagementGroupName> does not have any valid subscriptions

了解更多关于 CSP 的成本管理，请访问 [此处]（/cost-management-billing/understand/mpa-overview）。

此图说明了不同Azure范围类型与其关联的成本管理和计费角色之间的分层关系。

单个协议范围

Azure订阅从个人优惠（例如即用即付）和相关类型（例如试用和开发/测试优惠）创建，对于账单账户范围没有明确定义。 而是每个订阅都有一个帐户所有者或帐户管理员，例如 EA 帐户所有者。

• Billing 帐户 - 表示一个或多个Azure订阅的单个帐户所有者。 它目前不支持向多个用户授予访问权限或跨多个订阅访问聚合成本视图的权限。

  资源类型：不适用

单个Azure订阅帐户管理员可以从 Azure 门户>Subscriptions>选择订阅，查看和管理计费数据，例如发票和付款。

在成本管理中切换功能范围

Azure 门户中的所有成本管理视图在视图左上角都包含一个 Scope 选择器。 使用该图标可以快速更改范围。 选择 范围 标签以打开范围选取器。 其中显示了计费帐户、根管理组，以及未嵌套在根管理组下的任何订阅。 若要选择范围，请选择背景将其突出显示，然后选择底部的“选择”。 若要深入到嵌套的范围（例如订阅中的资源组），请选择范围名称链接。 若要在任意嵌套级别选择父范围，请在范围选取器顶部选择“选择此 <范围>”。

使用范围选取器查看迁移或合同更改后的历史费用

如果从 EA 协议迁移到 MCA，则仍有权访问旧的计费范围。

1. 登录到 Azure 门户。
2. 搜索并选择“成本管理 + 计费”。
3. 选择 “计费范围 ”以查看新计费帐户和以前的计费帐户的列表。
4. 选择您希望查看成本的计费帐户

将作用域与成本管理 API 配合使用

使用成本管理 API 时，了解范围是非常重要的。 使用以下信息为成本管理 API 生成正确的范围 URI。

计费帐户

1. 打开Azure门户，然后在服务列表中导航到 Cost Management + Billing。
2. 在计费账户菜单中选择属性。
3. 复制计费帐户 ID。
4. 范围为："/providers/Microsoft.Billing/billingAccounts/{billingAccountId}"

计费对象信息

1. 打开Azure门户，然后在服务列表中导航到 Cost Management + Billing。
2. 在计费帐户菜单中选择“计费配置文件”。
3. 选择计费配置文件的名称。
4. 在计费配置文件菜单中选择“属性”。
5. 复制计费帐户和计费资料 ID。
6. 您的范围是："/providers/Microsoft.Billing/billingAccounts/{billingAccountId}/billingProfiles/{billingProfileId}"

发票科目

1. 打开Azure门户，然后在服务列表中导航到 Cost Management + Billing。
2. 在计费帐户菜单中选择“发票科目”。
3. 选择发票部分的名称。
4. 在发票部分菜单中选择“属性”。
5. 复制计费帐户和发票科目 ID。
6. 范围为："/providers/Microsoft.Billing/billingAccounts/{billingAccountId}/invoiceSections/{invoiceSectionId}"

EA 部门

1. 打开Azure门户，然后在服务列表中导航到 Cost Management + Billing。
2. 在计费帐户菜单中选取部门。
3. 选择部门的名称。
4. 在部门菜单中选择《属性》。
5. 复制计费账户和部门 ID。
6. 范围为："/providers/Microsoft.Billing/billingAccounts/{billingAccountId}/departments/{departmentId}"

EA 注册帐户

1. 打开Azure门户，导航到服务列表中的 Cost Management + Billing。
2. 在计费账户菜单中选择“注册账户”。
3. 选择注册帐户的名称。
4. 在注册帐户菜单中选择“属性”。
5. 复制计费帐户和注册帐户 ID。
6. 范围为："/providers/Microsoft.Billing/billingAccounts/{billingAccountId}/enrollmentAccounts/{enrollmentAccountId}"

管理组

1. 打开Azure门户并导航到服务列表中的 Management 组。
2. 导航到管理群组。
3. 复制表中的管理组 ID。
4. 范围为："/providers/Microsoft.Management/managementGroups/{id}"

订阅

1. 打开Azure门户，并在服务列表中导航到 Subscriptions。
2. 复制表中的订阅 ID。
3. 范围为："/subscriptions/{id}"

资源组

1. 打开Azure门户并导航到服务列表中的 Resource groups。
2. 选择资源组的名称。
3. 在资源组菜单中选择“属性”。
4. 复制资源 ID 字段值。
5. 范围为："/subscriptions/{id}/resourceGroups/{name}"

成本管理目前在 Azure https://management.chinacloudapi.cn 中得到支持。

相关内容

• 如果尚未完成成本管理的第一个快速入门，请在 开始分析成本时阅读该快速入门。