在 Azure Stack Hub 中配置多租户

先决条件

注册或注销来宾目录之前，你和 Mary 必须完成各自 Microsoft Entra 租户的管理步骤：Azure Stack Hub 主目录 (Contoso) 和来宾目录 (Adatum)：

• 安装和配置适用于 Azure Stack Hub 的 PowerShell。

• 下载 Azure Stack Hub 工具，然后导入“连接和标识”模块：

  Import-Module .\Identity\AzureStack.Identity.psm1
  

注册来宾目录

若要注册用于多租户的来宾目录，需要配置 Azure Stack Hub 主目录和来宾目录。

配置 Azure Stack Hub 目录

作为 contoso.partner.onmschina.cn 的服务管理员，必须先将 Adatum 的来宾目录租户加入 Azure Stack Hub。 以下脚本配置 Azure 资源管理器以接受来自 adatum.partner.onmschina.cn 租户中的用户和服务主体的登录：

## The following Azure Resource Manager endpoint is for the ASDK. If you're in a multinode environment, contact your operator or service provider to get the endpoint, formatted as adminmanagement.<region>.<FQDN>.
$adminARMEndpoint = "https://adminmanagement.local.azurestack.external"

## Replace the value below with the Azure Stack Hub directory
$azureStackDirectoryTenant = "contoso.partner.onmschina.cn"

## Replace the value below with the guest directory tenant. 
$guestDirectoryTenantToBeOnboarded = "adatum.partner.onmschina.cn"

## Replace the value below with the name of the resource group in which the directory tenant registration resource should be created (resource group must already exist).
$ResourceGroupName = "system.local"

## Replace the value below with the region location of the resource group.
$location = "local"

# Subscription Name
$SubscriptionName = "Default Provider Subscription"

Register-AzSGuestDirectoryTenant -AdminResourceManagerEndpoint $adminARMEndpoint `
 -DirectoryTenantName $azureStackDirectoryTenant `
 -GuestDirectoryTenantName $guestDirectoryTenantToBeOnboarded `
 -Location $location `
 -ResourceGroupName $ResourceGroupName `
 -SubscriptionName $SubscriptionName

配置来宾目录

接下来，Mary（Adatum 的目录管理员）必须通过运行以下脚本在 adatum.partner.onmschina.cn 来宾目录中注册 Azure Stack Hub：

## The following Azure Resource Manager endpoint is for the ASDK. If you're in a multinode environment, contact your operator or service provider to get the endpoint, formatted as management.<region>.<FQDN>.
$tenantARMEndpoint = "https://management.local.azurestack.external"

## Replace the value below with the guest directory tenant.
$guestDirectoryTenantName = "adatum.partner.onmschina.cn"

Register-AzSWithMyDirectoryTenant `
 -TenantResourceManagerEndpoint $tenantARMEndpoint `
 -DirectoryTenantName $guestDirectoryTenantName `
 -Verbose

指导用户登录

最后，Mary 可以指导具有 @adatum.partner.onmschina.cn 帐户的 Adatum 用户通过访问 Azure Stack Hub 用户门户来登录。 对于多节点系统，用户门户 URL 的格式为 https://portal.<region>.<FQDN>。 对于 ASDK 部署，URL 为 https://portal.local.azurestack.external。

Mary 还必须指导任何外部主体（Adatum 目录中没有 adatum.partner.onmschina.cn 后缀的用户）使用 https://<user-portal-url>/adatum.partner.onmschina.cn 登录。 如果他们未在此 URL 中指定 /adatum.partner.onmschina.cn 目录租户，则会被发送到其默认目录，并收到一个错误，指出其管理员未同意。

注销来宾目录

如果你不再需要允许从来宾目录租户登录到 Azure Stack Hub 服务，则可以注销该目录。 同样，这需要配置 Azure Stack Hub 主目录和来宾目录：

1. 以来宾目录的管理员身份（在此场景中为 Mary）运行 Unregister-AzsWithMyDirectoryTenant。 该 cmdlet 从新目录中卸载所有 Azure Stack Hub 应用。

   ## The following Azure Resource Manager endpoint is for the ASDK. If you're in a multinode environment, contact your operator or service provider to get the endpoint, formatted as management.<region>.<FQDN>.
   $tenantARMEndpoint = "https://management.local.azurestack.external"
   
   ## Replace the value below with the guest directory tenant.
   $guestDirectoryTenantName = "adatum.partner.onmschina.cn"
   
   Unregister-AzsWithMyDirectoryTenant `
    -TenantResourceManagerEndpoint $tenantARMEndpoint `
    -DirectoryTenantName $guestDirectoryTenantName `
    -Verbose 
   

2. 作为 Azure Stack Hub 的服务管理员（在此场景中是指你），请运行 Unregister-AzSGuestDirectoryTenant cmdlet：

   ## The following Azure Resource Manager endpoint is for the ASDK. If you're in a multinode environment, contact your operator or service provider to get the endpoint, formatted as adminmanagement.<region>.<FQDN>.
   $adminARMEndpoint = "https://adminmanagement.local.azurestack.external"
   
   ## Replace the value below with the Azure Stack Hub directory
   $azureStackDirectoryTenant = "contoso.partner.onmschina.cn"
   
   ## Replace the value below with the guest directory tenant. 
   $guestDirectoryTenantToBeDecommissioned = "adatum.partner.onmschina.cn"
   
   ## Replace the value below with the name of the resource group in which the directory tenant resource was created (resource group must already exist).
   $ResourceGroupName = "system.local"
   
   Unregister-AzSGuestDirectoryTenant -AdminResourceManagerEndpoint $adminARMEndpoint `
    -DirectoryTenantName $azureStackDirectoryTenant `
    -GuestDirectoryTenantName $guestDirectoryTenantToBeDecommissioned `
    -ResourceGroupName $ResourceGroupName
   

   警告

   禁用多租户的步骤必须按顺序执行。 如果首先完成步骤 1，则步骤 2 将失败。

检索 Azure Stack Hub 标识运行状况报告

替换 <region>、<domain> 和 <homeDirectoryTenant> 占位符，然后以 Azure Stack Hub 管理员的身份执行以下 cmdlet。

$AdminResourceManagerEndpoint = "https://adminmanagement.<region>.<domain>"
$DirectoryName = "<homeDirectoryTenant>.partner.onmschina.cn"
$healthReport = Get-AzsHealthReport -AdminResourceManagerEndpoint $AdminResourceManagerEndpoint -DirectoryTenantName $DirectoryName
Write-Host "Healthy directories: "
$healthReport.directoryTenants | Where status -EQ 'Healthy' | Select -Property tenantName,tenantId,status | ft


Write-Host "Unhealthy directories: "
$healthReport.directoryTenants | Where status -NE 'Healthy' | Select -Property tenantName,tenantId,status | ft

更新 Microsoft Entra 租户权限

此操作将清除 Azure Stack Hub 中指示目录需要更新的警报。 从 Azurestack-tools-master/identity 文件夹运行以下命令：

Import-Module ..\Identity\AzureStack.Identity.psm1

$adminResourceManagerEndpoint = "https://adminmanagement.<region>.<domain>"

# This is the primary tenant Azure Stack Hub is registered to:
$homeDirectoryTenantName = "<homeDirectoryTenant>.partner.onmschina.cn"

Update-AzsHomeDirectoryTenant -AdminResourceManagerEndpoint $adminResourceManagerEndpoint `
   -DirectoryTenantName $homeDirectoryTenantName -Verbose

该脚本提示输入 Microsoft Entra 租户的管理凭据，并且需要几分钟时间才能运行。 运行 cmdlet 后将清除该警报。