使用Azure Lighthouse進行跨租用戶管理 ~ UCOM 職能補給站

當我們的多個Azure subscription(訂用帳戶)們在不同的 Microsoft Entra ID tenant(租用戶)或是我們要為客戶管理 Azure 中的資源時，使用B2C 將管理者帳戶邀請到被管理的subscription所在的Entra ID tenants 再授予權限雖然可行，但是管理者在進行管理時就需要在不同的 tenant 間進行切換目錄(switch directory)，這並不方便集中管理，而使用 Azure Lighthouse 是更好的解決方案。

Azure Lighthouse支援多租用戶管理，管理者(服務提供者)可以透過Azure平台的工具，跨租用戶為客戶提供管理服務，客戶可以控制誰可存取或管理他們的訂用帳戶或資源群組。

以下我們就以 Contoso 與 TPNIC 為例來說明如何使用Azure Lighthouse 進行跨租用戶管理。在這個情境中，Contoso 是管理者帳戶所在的 Entra ID tenant，而TPNIC是Azure subscription 所在 Entra ID tenant，TPNIC 要讓 Contoso 的管理人員可以管理 TPNIC 的 Azure subscription。也就是說在Azure Lighthouse，Contoso扮演服務提供者而TPNIC扮演客戶。

Contoso 管理者要進行的操作

在Azure portal 的【搜尋資源服務及文件(G+/)】，搜尋並前往【我的客戶】。
在我的客戶的【概觀】，點選建立【ARM 範本】。
在【名稱】輸入您自訂的名稱(例如：Contoso 聯盟)。
在【已委派的範圍】選擇訂用帳戶或資源群組，預設是訂用帳戶。
點選【新增授權】後，在【角色指派】選擇使用者、群組或服務主體，預設是使用者。
在【名稱】選取要在TPNIC的訂用帳戶授予管理權的 Contoso帳戶，例如：MOD Administrator。
在【角色】選取要授予上述帳戶在TPNIC的訂用帳戶的管理角色，例如：參與者(目前只支援內建角色，不支援自訂角色)。（圖1）
圖1 新增授權
按【新增】後，再按【檢視範本】。（圖2）
圖2 建立 ARM 範本方案
按【下載】將範本存檔(預設檔名為template.json)。（圖3）
圖3 顯示範本
將範本檔案交給 TPNIC 的 Azure 訂用帳戶管理者(Owner)。

TPNIC 管理者要進行的操作

在Azure portal 的【搜尋資源服務及文件(G+/)】，搜尋並前往【服務提供者】。
在【服務提供者供應項目】，點【＋新增供應項目】(在上方)後，選【透過範本新增】。
點【瀏覽檔案】後，選取Contoso管理者給的範本檔案後，按【上傳】。（圖4）
圖4 上傳範本檔案
按【檢閱＋建立】後，按【建立】。（圖5）
圖5 檢閱並建立
等待部署完成後，再次在Azure portal 的【搜尋資源服務及文件(G+/)】，搜尋並前往【服務提供者】。
點【委派】後，按【重新整理】即可看到委派的結果。（圖6）
圖6 委派的結果

Contoso 管理者檢視結果

在Azure portal 的【搜尋資源服務及文件(G+/)】，搜尋並前往【我的客戶】。
在我的客戶點選【委派】後，按【重新整理】。(圖7)
圖7 檢視委派的結果
點【全域訂用帳戶篩選】後，在【目前＋委派的目錄】選【全選】，在【訂用帳戶】選【全選】。(圖8)
圖8 所有訂閱

完成這些程序，Contoso 中被選取的帳戶(例如：MOD Administrator)就可以管理在 TPNIC 的那一個 Azure 訂用帳戶了！

UCOM 職能補給站

提供您專業技能的最佳管道，IT企業主管唯一推薦

2026年8月2日星期日