连接 Azure：为 CostGuard 授予只读访问权限
如何通过四个步骤连接 Azure 订阅：管理员同意、读者角色、访问检查和选择订阅。
此页面的用途
在“连接 Azure”页面，CostGuard 获得对一个 Azure 订阅的只读访问权限，以便导入该订阅的成本。CostGuard 的其他所有部分都读取连接所导入的成本。
连接需要两个人，或同时具备两种权限的一个人：一位批准 CostGuard 应用的 Microsoft Entra 租户管理员，以及一位能在订阅上分配 Azure 角色的人。您无需创建应用注册或客户端密码。
开始之前
在选择“连接 Azure”之前，请准备好以下内容：
- 一个能在您的 Microsoft Entra 租户中授予管理员同意的帐户，例如全局管理员或云应用程序管理员。
- 订阅上的所有者、用户访问管理员或基于角色的访问控制管理员角色，用于分配读者角色。
- 套餐中仍有余量：每个套餐都包含一定数量的已连接订阅，“连接 Azure”会在工作区达到该数量时提示。
CostGuard 读取哪些内容
“CostGuard 读取的内容”面板会在您开始之前列出 CostGuard 的全部访问权限：
- 您所选订阅上的 Reader 角色，不需要其他角色。
- 该订阅的成本和使用记录、名称和状态，以及其产品与额度详情。
- 凭借 Reader 角色，CostGuard 无法在 Azure 中创建、更改或删除任何内容。
列表下方有一行，显示此工作区已连接的订阅数与您的套餐所含数量的对比。
四个步骤
“连接的步骤”面板以及流程中每个页面顶部的步骤指示器会显示您所处的位置：同意、读者角色、验证、订阅。下文逐一说明每个步骤。连接在同意之后即存在，但只有在选择订阅后才会读取成本。
第 1 步：授予管理员同意
选择“连接 Azure”。Microsoft 会在同一标签页中打开，并请求您租户的管理员为您的组织批准 CostGuard 的应用。该请求有效期为 30 分钟，且只能使用一次。
同意只是让该应用存在于您的租户中，并不授予对任何 Azure 资源的访问权限。这要由第 2 步的读者角色来完成。
随后 Microsoft 会将您送回同意结果页面。如果已授予同意，该页面会进入读者角色步骤；否则会说明原因：“Azure 授权失败”；请求已超过 30 分钟或已被使用时显示“请求无效或已过期”；CostGuard 无法确认新连接时显示“无法创建连接”。
第 2 步：分配读者角色
“验证访问”页面会显示要授予角色的标识。最简单的方法是“部署到 Azure”：它会在 Azure 门户中打开一个现成的模板，为 CostGuard 的应用在您所选的订阅上授予读者角色。
或者粘贴订阅 ID，然后使用“复制命令”或“复制 & 打开 Cloud Shell”在 Azure Cloud Shell 中运行 Azure CLI 命令；页面还提供 Azure PowerShell 命令。
分配角色需要订阅上的所有者、用户访问管理员或基于角色的访问控制管理员角色。如果您没有这些角色，请将模板或命令发送给拥有其中之一的人。
第 3 步：验证访问
选择“验证访问权限”。CostGuard 会询问 Azure 其应用现在可以读取哪些订阅，并将其列出。刚分配的角色可能需要几分钟才能生效。
如果列表一直为空，页面会显示“未找到订阅”：请检查角色分配，等待几分钟后再次验证。CostGuard 从不显示 Azure 自身的错误文本。
第 4 步：选择订阅
每个列出的订阅都会显示其名称、ID 及其在 Azure 中的状态。在此连接应读取的订阅上选择“选择”。一个连接读取一个订阅；已被工作区中另一个连接读取的订阅会显示“已连接”。
选择订阅后，页面会显示“连接完成”，并提供指向“Azure 连接”和“同步历史”的链接。
首次导入
随后 CostGuard 会导入本月的成本，然后导入之前的三个完整月份。Azure 会在成本产生一两天后才发布，因此最近几天的数据会在之后的导入中补齐。
在“同步历史”上跟踪导入；该连接列在“Azure 连接”中。
您可能看到的非数字内容
页面读取时，灰色条会占据面板的位置。之后，页面可能改为显示以下状态之一：
- “已达到您的套餐连接数上限”：工作区已有其套餐所含数量的连接。请删除一个不再需要的连接，或打开“查看套餐和使用情况”。
- “请求无效或已过期”：Microsoft 的应答与您的任何请求都不匹配，或该请求已超过 30 分钟。请从“连接 Azure”重新开始。
- “Azure 授权失败”：管理员拒绝或关闭了 Microsoft 页面。请选择“重试”，或请您的 Azure 管理员批准 CostGuard 的应用。
- “未找到订阅”：CostGuard 尚无法通过此连接读取任何订阅。请检查读者角色并使用“再次验证访问权限”。
- 如果无法续订您的登录，页面会请您重新登录一次，然后说明您的会话已结束，而不是显示检查失败。
各方案包含的内容
表格显示包含页面各部分的最低方案。所有更高的方案也都包含该部分。
| 功能 | Free | Starter | Growth | Pro | Enterprise |
|---|---|---|---|---|---|
| 连接 Azure 订阅 | 包含 | 包含 | 包含 | 包含 | 包含 |
所有套餐都可以连接 Azure；各套餐的区别在于一个工作区可以连接的订阅数量：Free 为一个，Starter 为三个，Growth 为十个，Pro 和 Enterprise 没有固定数量。额度在服务器上检查，页面从不显示价格。
故障排除
管理员已批准，但验证访问找不到任何内容
仅凭同意不会授予任何访问权限。请在订阅上分配读者角色（第 2 步），等待几分钟让 Azure 应用该角色，然后再次验证。
我需要的订阅不在列表中
角色被授予在另一个订阅上，或位于与授予同意的租户不同的租户中。请检查角色分配是在何处进行的，然后再次验证。
页面显示已达到连接上限
工作区的连接数已达到其套餐所含数量。请在“Azure 连接”中断开一个不再需要的连接，或在“套餐与用量”中比较套餐。
连接已建立，但尚未显示任何成本
首次导入仍在进行或尚未开始。请在“同步历史”中跟踪；此外 Azure 发布成本会延迟一两天，因此最近几天的数据会随之后的导入到达。