Connecter Azure : accès en lecture seule pour CostGuard
Comment connecter un abonnement Azure en quatre étapes : le consentement administrateur, le rôle Lecteur, la vérification de l'accès et le choix de l'abonnement.
À quoi sert cette page
Connecter Azure est l'endroit où CostGuard obtient un accès en lecture seule à un abonnement Azure, afin d'en importer le coût. Tout le reste de CostGuard lit le coût qu'une connexion importe.
La connexion demande deux personnes, ou une personne qui a les deux droits : un administrateur de votre tenant Microsoft Entra qui approuve l'application de CostGuard, et quelqu'un qui peut attribuer un rôle Azure sur l'abonnement. Vous ne créez ni inscription d'application ni secret client.
Avant de commencer
Avant de choisir « Connecter Azure », préparez ceci :
- Un compte qui peut accorder le consentement administrateur dans votre tenant Microsoft Entra, par exemple un Administrateur général ou un Administrateur d'applications cloud.
- Le rôle Propriétaire, Administrateur de l'accès utilisateur ou Administrateur du contrôle d'accès en fonction du rôle sur l'abonnement, pour attribuer le rôle Lecteur.
- De la place dans votre offre : chaque offre comprend un nombre d'abonnements connectés, et Connecter Azure indique quand l'espace de travail l'a atteint.
Ce que lit CostGuard
Le panneau « Ce que CostGuard lit » liste tout l'accès de CostGuard avant que vous ne commenciez :
- Le rôle Reader sur l'abonnement que vous choisissez, et aucun autre rôle.
- Les enregistrements de coûts et d'utilisation de l'abonnement, son nom et son état, ainsi que son offre et ses crédits.
- Avec le rôle Reader, CostGuard ne peut rien créer, modifier ni supprimer dans Azure.
Sous la liste, une ligne compte les abonnements déjà connectés dans cet espace de travail au regard du nombre que comprend votre offre.
Les quatre étapes
Le panneau « Comment se passe la connexion » et l'indicateur d'étapes en haut de chaque page du parcours montrent où vous en êtes : consentement, rôle Lecteur, vérification, abonnement. Chaque étape est expliquée ci-dessous. La connexion existe après le consentement ; elle ne lit le coût qu'une fois un abonnement choisi.
Étape 1 : donner le consentement administrateur
Choisissez « Connecter Azure ». Microsoft s'ouvre dans le même onglet et demande à un administrateur de votre tenant d'approuver l'application de CostGuard pour votre organisation. La demande est valable 30 minutes, une seule fois.
Le consentement permet seulement à l'application d'exister dans votre tenant ; il ne donne accès à aucune ressource Azure. C'est le rôle de l'étape 2, le rôle Lecteur.
Microsoft vous renvoie ensuite à la page du résultat du consentement. Elle passe à l'étape du rôle Lecteur quand le consentement a été donné, ou dit pourquoi non : « Échec du consentement Azure », « Demande invalide ou expirée » pour une demande de plus de 30 minutes ou déjà utilisée, ou « La connexion n'a pas pu être créée » quand CostGuard n'a pas pu confirmer la nouvelle connexion.
Étape 2 : attribuer le rôle Lecteur
La page de vérification de l'accès indique l'identité à qui donner le rôle. Le plus simple est « Déployer sur Azure » : il ouvre dans le portail Azure un modèle prêt à l'emploi qui donne à l'application de CostGuard le rôle Lecteur sur l'abonnement que vous y choisissez.
Vous pouvez aussi coller l'ID de l'abonnement et utiliser « Copier la commande » ou « Copier & ouvrir Cloud Shell » pour exécuter la commande Azure CLI dans Azure Cloud Shell ; une commande Azure PowerShell est aussi proposée.
Attribuer le rôle demande Propriétaire, Administrateur de l'accès utilisateur ou Administrateur du contrôle d'accès en fonction du rôle sur l'abonnement. Si vous n'avez aucun de ces rôles, envoyez le modèle ou la commande à quelqu'un qui en a un.
Étape 3 : vérifier l'accès
Choisissez « Vérifier l'accès ». CostGuard demande à Azure quels abonnements son application peut maintenant lire et les liste. Un rôle que vous venez d'attribuer peut prendre quelques minutes pour s'appliquer.
Quand la liste reste vide, la page indique « Aucun abonnement trouvé » : vérifiez l'attribution du rôle, attendez quelques minutes et vérifiez à nouveau. CostGuard n'affiche jamais le texte d'erreur d'Azure lui-même.
Étape 4 : choisir l'abonnement
Chaque abonnement listé affiche son nom, son ID et son état dans Azure. Choisissez « Sélectionner » sur celui que cette connexion doit lire. Une connexion lit un abonnement ; un abonnement déjà lu par une autre connexion de l'espace de travail affiche « Déjà connecté ».
Une fois l'abonnement choisi, la page affiche « Connexion terminée » avec des liens vers « Connexions Azure » et vers « Historique de synchronisation ».
Le premier import
CostGuard importe ensuite le coût de ce mois puis, après lui, les trois mois complets précédents. Azure publie le coût un ou deux jours après qu'il est engagé, si bien que les jours les plus récents se complètent aux imports suivants.
Suivez l'import sur « Historique de synchronisation » ; la connexion figure sur « Connexions Azure ».
Ce que vous pouvez voir à la place des chiffres
Pendant la lecture, des barres grises occupent la place des panneaux. Ensuite, la page peut afficher l'un de ces états à la place :
- « La limite de connexions de votre forfait est atteinte » : l'espace de travail a déjà autant de connexions que son offre en comprend. Supprimez-en une dont vous n'avez plus besoin, ou ouvrez « Voir le forfait et l'utilisation ».
- « Demande invalide ou expirée » : la réponse de Microsoft ne correspondait à aucune de vos demandes, ou la demande avait plus de 30 minutes. Recommencez depuis « Connecter Azure ».
- « Échec du consentement Azure » : l'administrateur a refusé ou fermé la page de Microsoft. Choisissez « Réessayer », ou demandez à votre administrateur Azure d'approuver l'application de CostGuard.
- « Aucun abonnement trouvé » : CostGuard ne peut encore lire aucun abonnement par cette connexion. Vérifiez le rôle Lecteur et utilisez « Vérifier à nouveau l'accès ».
- Quand votre connexion n'a pas pu être renouvelée, la page vous demande une fois de vous reconnecter, puis indique que votre session est terminée au lieu d'afficher une vérification échouée.
Ce que comprend chaque offre
Le tableau indique la première offre qui comprend chaque partie de la page. Toutes les offres supérieures la comprennent aussi.
| Fonctionnalité | Free | Starter | Growth | Pro | Enterprise |
|---|---|---|---|---|---|
| La connexion d'abonnements Azure | Inclus | Inclus | Inclus | Inclus | Inclus |
Toutes les offres peuvent connecter Azure ; elles diffèrent par le nombre d'abonnements qu'un espace de travail peut connecter : un en Free, trois en Starter, dix en Growth, et aucun nombre fixe en Pro et Enterprise. L'allocation est vérifiée sur le serveur, et la page n'affiche jamais de prix.
Résolution des problèmes
L'administrateur a approuvé, mais la vérification ne trouve rien
Le consentement seul ne donne aucun accès. Attribuez le rôle Lecteur sur l'abonnement (étape 2), attendez quelques minutes qu'Azure l'applique, puis vérifiez à nouveau.
L'abonnement dont j'ai besoin n'est pas dans la liste
Le rôle a été donné sur un autre abonnement, ou dans un autre tenant que celui qui a donné le consentement. Vérifiez où l'attribution du rôle a été faite, puis vérifiez à nouveau.
La page indique que la limite de connexions est atteinte
L'espace de travail a autant de connexions que son offre en comprend. Déconnectez-en une dont vous n'avez plus besoin dans « Connexions Azure », ou comparez les offres depuis « Forfait et utilisation ».
La connexion est faite, mais aucun coût n'apparaît encore
Le premier import est encore en cours ou n'a pas commencé. Suivez-le dans « Historique de synchronisation » ; Azure publie aussi le coût avec un ou deux jours de retard, si bien que les jours les plus récents arrivent avec les imports suivants.