提升访问权限以管理计费帐户

项目
08/23/2024

作为 Microsoft Entra ID 中的全局管理员，你可能无权访问目录中的所有计费帐户。本文介绍如何提升对所有计费帐户的访问权限。

在提升访问权限，从而能够管理所有计费帐户后，你可以查看和管理帐户的成本与计费。可以查看发票、费用、购买的产品，以及有权访问计费帐户的用户。如果你想要提升访问权限以便能够管理订阅、管理组和资源，请参阅提升访问权限以管理所有 Azure 订阅和管理组。

注意

提升的访问权限仅适用于 Microsoft 客户协议 (MCA) 和 Microsoft 合作伙伴协议 (MPA) 计费帐户类型。作为全局管理员，你无法提升自己的访问权限来管理企业协议 (EA) 和 Microsoft 在线服务计划 (MOSP) 类型的计费帐户。若要详细了解计费帐户，请参阅 Azure 门户中的计费帐户和范围。

为何要提升访问权限？

如果你是全局管理员，有时你可能需要执行以下操作：

查看在组织中创建了个人计费帐户的所有用户。
查看在组织中创建的所有个人计费帐户的发票和费用。
当用户失去访问权限时重新获取对计费帐户的访问权限。
在其他管理员没空时对帐户执行计费管理。

提升访问权限的工作原理是什么？

Microsoft Entra ID 中的所有全局管理员对其 Microsoft Entra ID 中的所有 Microsoft 客户协议 (MCA) 和 Microsoft 合作伙伴协议 (MPA) 计费帐户具有只读访问权限。他们可以查看所有计费帐户以及相应的成本和计费信息。除了只读的查看权限外，他们还拥有管理计费帐户中的角色分配的权限。他们可将自己添加为计费帐户的所有者，以提升自己的访问权限。

登录 Azure 门户。
搜索“成本管理 + 计费”。
在页面左侧选择“计费范围”。
在“计费范围”页上，选中相应的框以查看所有计费帐户。

注意

计费范围页仅显示 200 个范围。但是，可以使用页面中的搜索框来搜索未包含在列表中的帐户。
从列表中选择一个 Microsoft 客户协议或 Microsoft 合作伙伴协议计费帐户。作为全局管理员，你对计费帐户拥有读取访问权限。若要提升自己的访问权限以执行写入操作，请执行步骤 6 到 8。
在页面左侧选择“访问控制(IAM)”。
在页面顶部选择“添加”。
在“添加权限”窗口中的“角色”列表内，选择“计费帐户所有者”。在“选择”区域下选择你的用户名，然后在窗口底部选择“保存”。

可以使用 Azure 计费 API 以编程方式提升自己的访问权限，以管理目录中的所有计费帐户。

在目录中查找所有计费帐户

GET https://management.chinacloudapi.cn/providers/Microsoft.Billing/billingAccounts?includeAllOrgs=true&api-version=2020-05-01

API 响应返回目录中计费帐户的列表。

{
  "value": [
    {
            "id": "/providers/Microsoft.Billing/billingAccounts/6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx",
            "name": "6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx",
            "properties": {
                "accountStatus": "Active",
                "accountType": "Individual",
                "agreementType": "MicrosoftCustomerAgreement",
                "billingProfiles": {
                    "hasMoreResults": false
                },
                "displayName": "Connie Wilson",
                "hasReadAccess": true
            },
            "type": "Microsoft.Billing/billingAccounts"
        },
        {
            "id": "/providers/Microsoft.Billing/billingAccounts/5e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx",
            "name": "5e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx",
            "properties": {
                "accountStatus": "Active",
                "accountType": "Enterprise",
                "agreementType": "MicrosoftCustomerAgreement",
                "billingProfiles": {
                    "hasMoreResults": false
                },
                "displayName": "Contoso",
                "hasReadAccess": true
            },
            "type": "Microsoft.Billing/billingAccounts"
        },
        {
            "id": "/providers/Microsoft.Billing/billingAccounts/4e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx",
            "name": "4e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx",
            "properties": {
                "accountStatus": "Active",
                "accountType": "Individual",
                "agreementType": "MicrosoftCustomerAgreement",
                "billingProfiles": {
                    "hasMoreResults": false
                },
                "displayName": "Tomas Wilson",
                "hasReadAccess": true
            },
            "type": "Microsoft.Billing/billingAccounts"
        }
  ]
}

使用计费帐户的 displayName 属性来标识你要针对其提升访问权限的计费帐户。复制计费帐户的 name。例如，如果你要将自己提升为 Connie Wilson 计费帐户的所有者，可以复制 6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx。将该值粘贴到某个位置，以便在下一步中使用它。

获取可用于计费帐户的角色定义

发出以下请求，将 <billingAccountName> 替换为在第一步复制的 name (6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx)。

GET https://management.chinacloudapi.cn/providers/Microsoft.Billing/billingAccounts/<billingAccountName>/billingRoleDefinitions?api-version=2020-05-01

API 响应返回可用于计费帐户的角色列表。

{
    "value": [
        {
            "id": "/providers/Microsoft.Billing/billingAccounts/6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx/billingRoleDefinitions/a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1",
            "name": "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1",
            "properties": {
                "description": "The Owner role gives the user all permissions including access management on a billing account.",
                "permissions": [
                    {
                        "actions": [
                            "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1",
                            "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1",
                            "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1",
                            "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1"
                        ]
                    }
                ],
                "roleName": "Billing account owner"
            },
            "type": "Microsoft.Billing/billingAccounts/billingRoleDefinitions"
        },
        {
            "id": "/providers/Microsoft.Billing/billingAccounts/6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx/billingRoleDefinitions/a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1",
            "name": "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1",
            "properties": {
                "description": "The Contributor role gives the user all permissions except access management on a billing account.",
                "permissions": [
                    {
                        "actions": [
                            "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1",
                            "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1",
                            "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1",
                        ]
                    }
                ],
                "roleName": "Billing account contributor"
            },
            "type": "Microsoft.Billing/billingAccounts/billingRoleDefinitions"
        },
        {
            "id": "/providers/Microsoft.Billing/billingAccounts/6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx/billingRoleDefinitions/a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1",
            "name": "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1",
            "properties": {
                "description": "The Reader role gives the user read permissions to a billing account.",
                "permissions": [
                    {
                        "actions": [
                            "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1",
                            "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1",
                            "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1",
                        ]
                    }
                ],
                "roleName": "Billing account reader"
            },
            "type": "Microsoft.Billing/billingAccounts/billingRoleDefinitions"
        }
    ]
}

使用 roleName 属性来标识所有者角色定义。复制角色定义的 name。例如，在上面的 API 响应中复制 a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1。将该值粘贴到某个位置，以便在下一步使用它。

将自己添加为所有者

发出以下请求，将 <billingAccountName> 替换为在第一步复制的 name (6e98e158-xxxx-xxxx-xxxx-xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx_xxxx-xx-xx)。

PUT  https://management.chinacloudapi.cn/providers/Microsoft.Billing/billingAccounts/<billingAccountName>/createBillingRoleAssignment?api-version=2020-05-01

请求正文

若要将自己添加为所有者，你需要获取自己的对象 ID。可以在 Azure 门户上“Microsoft Entra ID”部分的“用户”页中找到对象 ID，也可以使用 Microsoft Graph API 获取对象 ID。

在请求正文中，请将 <roleDefinitionName> 替换为在步骤 2 中复制的 name。将 <principalId> 替换为从 Azure 门户或通过 Microsoft Graph API 获取的对象 ID。

{
	    "principalId": "<principalId>",
	    "roleDefinitionId": "<roleDefinitionName>"
}

需要帮助？请联系支持人员

如果需要帮助，请联系支持人员以快速解决问题。

通过

提升访问权限以管理计费帐户

为何要提升访问权限？

提升访问权限的工作原理是什么？

提升访问权限以管理计费帐户

在目录中查找所有计费帐户

获取可用于计费帐户的角色定义

将自己添加为所有者

请求正文

需要帮助？请联系支持人员

后续步骤

其他资源