> ## Documentation Index
> Fetch the complete documentation index at: https://docs.automq.com/llms.txt
> Use this file to discover all available pages before exploring further.

# 在 Azure 上配置运维授权

> 通过跨租户授权方案，在 Azure 上为 AutoMQ 运维平台创建服务主体并授予 Storage Blob Data Contributor 角色，完成 Ops Bucket 运维授权。

如[管理环境运维授权▸](/zh/automq-cloud/manage-environments/manage-environment-ops-authing/overview)中所述，AutoMQ 运维平台需要对您 Azure 环境中的 Ops Bucket 进行读写访问，以实现系统稳定性监控、故障自愈、订阅 License 更新和版本升级等运维操作。

在 Azure 中，跨租户账号授权 AutoMQ 访问指定的 Ops Bucket 是通过跨租户授权方案实现的。该方案的核心是在您的租户中，基于 AutoMQ 运维平台的多租户应用创建服务主体（Service Principal），然后为该服务主体分配相应的角色权限。更多关于跨租户授权的详细信息，请参考 [跨租户创建服务主体](https://learn.microsoft.com/entra/identity/enterprise-apps/create-service-principal-cross-tenant?pivots=azure-cli) 和 [跨租户授权访问](https://learn.microsoft.com/en-us/azure/azure-signalr/signalr-howto-authorize-cross-tenant)。

<Info>
  本文中提及 AutoMQ 产品服务方、AutoMQ 服务方、AutoMQ，均特指安托盟丘（杭州）科技有限公司。
</Info>

## 操作流程

### 步骤一：使用租户管理员身份登录 Azure CLI

使用您的租户管理员身份登录 Azure CLI。将 `<Your Tenant ID>` 替换为您的 Microsoft Entra 租户 ID。

```shell theme={null}
az login --tenant <Your Tenant ID>
```

### 步骤二：获取 Ops Bucket 信息

在操作之前，您需要收集创建 AutoMQ BYOC 环境时配置的 Ops Bucket 相关信息。您可以通过 Azure 控制台或 Azure CLI 获取以下信息：

| 参数                       | 说明                                  |
| ------------------------ | ----------------------------------- |
| 当前订阅 ID（Subscription ID） | 包含 Ops Bucket 资源的 Azure 订阅。         |
| 资源组（Resource Group）      | Storage Account 所在的资源组。             |
| Storage Account          | 承载 Ops Bucket Blob Container 的存储账户。 |
| Blob Container 名称        | 用作 Ops Bucket 的 Blob Container 名称。  |

通过 Azure CLI 查询 Storage Account 和 Blob Container：

```shell theme={null}
# 列出资源组中的 Storage Account
az storage account list --resource-group <Your Resource Group> --query "[].name" -o table

# 列出 Storage Account 中的 Blob Container
az storage container list --account-name <Your Storage Account> --query "[].name" -o table
```

### 步骤三：创建 AutoMQ 运维平台的服务主体

在您的租户中，基于 AutoMQ 运维平台的多租户应用创建服务主体（Service Principal），使 AutoMQ 运维平台能够在您的 Azure 环境中进行身份认证。

执行以下命令：

```shell theme={null}
az ad sp create --id 123d6e96-84f4-4569-82ec-c25edb2dc696
```

<Warning>
  `--id` 参数值 `123d6e96-84f4-4569-82ec-c25edb2dc696` 是 AutoMQ 官方运维平台的 App ID，不可修改。
</Warning>

执行成功后，可以使用以下命令查看生成的服务主体：

```shell theme={null}
az ad sp show --id 123d6e96-84f4-4569-82ec-c25edb2dc696
```

### 步骤四：为 AutoMQ 运维平台的服务主体授予角色绑定

为 AutoMQ 运维平台的服务主体授予 **Storage Blob Data Contributor** 角色，授权范围限定在 Ops Bucket 所在的 Blob Container。AutoMQ 仅会获取 Ops Bucket 所在的 Blob Container 的 "Storage Blob Data Contributor" 角色权限，不会影响其他任何资源。

将以下命令中的占位符替换为步骤二中收集的信息：

```shell theme={null}
az role assignment create \
  --role "Storage Blob Data Contributor" \
  --assignee 123d6e96-84f4-4569-82ec-c25edb2dc696 \
  --scope "/subscriptions/{Your Subscription ID}/resourceGroups/{Your Resource Group}/providers/Microsoft.Storage/storageAccounts/{Your Storage Account}/blobServices/default/containers/{Your Ops Bucket Blob Container}"
```

执行成功后，Ops Bucket 运维授权即完成。您可以继续在 AutoMQ 平台上进行后续的集群创建和管理操作。