如何在新Azure租户中创建新用户并授予其参与者权限

一、Azure 门户操作流程（适合可视化操作） #

1. 创建新用户 #

• 登录Azure门户，切换至目标新租户（多租户场景下需确认租户上下文）
• 搜索并进入Azure Active Directory服务
• 左侧菜单选择「用户」>「新建用户」
• 填写核心信息：
  • 用户名：租户内唯一，格式示例 username@yourtenant.onmicrosoft.com
  • 姓名、显示名
  • 密码：可选择自动生成或手动设置，建议勾选「让用户在下次登录时更改密码」
• 点击「创建」完成用户创建

2. 授予参与者权限 #

方式1：从用户详情页直接分配

• 在Azure AD用户列表中找到目标用户，进入其详情页
• 左侧菜单选择「分配的角色和管理员」>「添加分配」
• 在弹窗中：
  • 选择角色：搜索并选中「参与者」
  • 选择范围：可按需选择整个租户、特定订阅或资源组
  • 点击「选择」完成分配

方式2：通过订阅/资源组分配（更灵活）

• 搜索并进入目标订阅或资源组
• 左侧菜单选择「访问控制 (IAM)」
• 点击「添加」>「添加角色分配」
• 在角色分配面板：
  • 选择「参与者」角色
  • 切换至「成员」选项卡，搜索并选中目标用户
  • 点击「查看 + 分配」完成操作

二、Azure CLI 操作流程（适合自动化/批量场景） #

1. 登录并切换租户 #

# 通过租户域名登录
az login --tenant your-tenant-id.onmicrosoft.com
# 或通过租户ID登录
az login --tenant xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

2. 创建新用户 #

az ad user create \
  --display-name "John Doe" \
  --user-principal-name john.doe@yourtenant.onmicrosoft.com \
  --password "StrongPass_123" \
  --force-change-password-next-login true

3. 授予参与者权限 #

分配至特定订阅

# 先获取当前订阅ID
subscription_id=$(az account show --query id -o tsv)
# 执行角色分配
az role assignment create \
  --assignee john.doe@yourtenant.onmicrosoft.com \
  --role "参与者" \
  --scope "/subscriptions/$subscription_id"

分配至租户根范围（不推荐，仅特殊场景使用）

az role assignment create \
  --assignee john.doe@yourtenant.onmicrosoft.com \
  --role "参与者" \
  --scope "/"

三、Azure PowerShell 操作流程 #

1. 登录并切换租户 #

Connect-AzAccount -Tenant "your-tenant-id.onmicrosoft.com"

2. 创建新用户 #

$password = ConvertTo-SecureString "StrongPass_123" -AsPlainText -Force
New-AzADUser `
  -DisplayName "John Doe" `
  -UserPrincipalName "john.doe@yourtenant.onmicrosoft.com" `
  -Password $password `
  -ForceChangePasswordNextLogin $true

3. 授予参与者权限 #

$subscriptionId = (Get-AzContext).Subscription.Id
New-AzRoleAssignment `
  -SignInName "john.doe@yourtenant.onmicrosoft.com" `
  -RoleDefinitionName "参与者" `
  -Scope "/subscriptions/$subscriptionId"

四、最优实现方式 #

1. 最小权限原则：避免默认分配租户级参与者权限，优先将权限范围限制在特定订阅或资源组，降低安全风险
2. 自动化优先：批量操作或重复场景下，优先使用Azure CLI/PowerShell，或通过Azure Bicep/ARM模板实现基础设施即代码（IaC），确保操作可追溯、可复用
3. 强制安全配置：创建用户后，通过Azure AD条件访问策略强制开启多因素认证（MFA），提升账户安全性
4. 角色组管理：若多个用户需相同权限，创建Azure AD安全组，将用户加入组后再分配角色，简化后续权限调整与用户管理
5. 审计与监控：启用Azure AD登录日志和IAM角色分配日志，定期审计权限分配情况，清理冗余权限

内容的提问来源于stack exchange，提问作者OllieP