ロールを使用したリソース アクセスの制御

Azure リソースの組み込みロール (PowerShell を使用)

Azure には、最も一般的なセキュリティ シナリオに対応するいくつかの 組み込みロール が用意されています。 ロールがどのように機能するかを理解するために、すべてのリソースの種類に適用される次の 3 つのロールを確認しましょう。

• 所有者: 他のユーザーにアクセス権を委任する権限を含め、すべてのリソースへのフル アクセス権を持ちます。
• 共同作成者: すべての種類の Azure リソースを作成および管理できますが、他のユーザーにアクセス権を付与することはできません。
• 閲覧者: 既存の Azure リソースを表示できます。

ロールの定義

各ロールは、JavaScript Object Notation (JSON) ファイルに定義されるプロパティのセットです。 このロール定義には、 名前、 ID、および 説明が含まれます。 また、ロールの許可されるアクセス許可 (アクション)、拒否されたアクセス許可 (NotActions)、スコープ (読み取りアクセスなど) も含まれます。

所有者ロールには、すべてのアクションを意味するアスタリスク (*) が示され、拒否されるアクションはありません。すべてのスコープであるスラッシュ (/) が示されます。

この情報は、PowerShell の Get-AzRoleDefinition Owner コマンドレットを使用して取得できます。

Get-AzRoleDefinition Owner

このコードにより、次の出力が生成されます。

Name             : Owner
Id               : 8e3af657-a8ff-443c-a75c-2fe8c4bcb635
IsCustom         : False
Description      : Lets you manage everything, including access to resources.
Actions          : {*}
NotActions       : {}
DataActions      : {}
NotDataActions   : {}
AssignableScopes : {/}

共同作成者ロールと閲覧者ロールに対して同じ操作を試して、許可および拒否されたアクションを確認します。

組み込みのロール

Microsoft Entra ID での RBAC とユーザー ロールの詳細な調査については、「Microsoft Entra ID での RBAC とユーザー ロールの確認」を参照してください。

ロールの定義とは

ロールの定義はアクセス許可のコレクションです。 ロール定義には、 読み取り、書き込み、削除など、ロールが実行できる操作が一覧表示されます。 実行できない操作または基となるデータに関連する操作を列挙することもできます。

前述のとおり、ロールの定義は次のような構造になっています。

この構造は、ロールベースのアクセス制御 (RBAC) または基になる API で使用される場合、JSON で表されます。 たとえば、JSON 形式の 共同作成者 ロール定義を次に示します。

{
  "Name": "Contributor",
  "Id": "b24988ac-6180-42a0-ab88-20f7382dd24c",
  "IsCustom": false,
  "Description": "Lets you manage everything except access to resources.",
  "Actions": [
    "*"
  ],
  "NotActions": [
    "Microsoft.Authorization/*/Delete",
    "Microsoft.Authorization/*/Write",
    "Microsoft.Authorization/elevateAccess/Action"
  ],
  "DataActions": [],
  "NotDataActions": [],
  "AssignableScopes": [
    "/"
  ]
}

Actions と NotActions

Actions プロパティと NotActions プロパティを調整して、必要なアクセス許可を付与および拒否することができます。 これらのプロパティは常に {Company}.{ProviderName}/{resourceType}/{action} の形式になります。

例として、先ほど確認した 3 つのロールのアクションを次に示します。

* の下のワイルドカード (Actions) 操作は、このロールに割り当てられたプリンシパルがすべてのアクションを実行できることを示しています。つまり、このロールは、将来新しいリソースの種類が Azure に追加されたときに定義されるアクションを含め、すべてを管理できます。 閲覧者ロールでは、readアクションのみが許可されます。

NotActions 以下の操作は、Actions から除かれます。 共同作成者ロールを使用すると、NotActionsリソースへのアクセスを管理するこのロールの機能が削除され、リソースへのアクセスの割り当ても削除されます。

DataActions と NotDataActions

データ操作は DataActions プロパティおよび NotDataActions プロパティで指定されます。 データ操作は、管理操作とは別に指定できます。 この結果、ワイルドカード (*) を使用した現在のロールの割り当てによって、データに思いがけなくアクセスする動作が防止されます。 DataActions と NotDataActions で指定できるデータ操作には次のものがあります。

• コンテナーの BLOB の一覧の読み取り
• コンテナーのストレージ BLOB の書き込み
• キュー内のメッセージの削除

データ操作は、DataActions と NotDataActions プロパティにのみ追加できます。 リソース プロバイダーでは、isDataAction プロパティを true に設定して、どの操作がデータ操作であるかを指定します。 データ操作のないロールでは、ロールの定義からこれらのプロパティを省略できます。

これらのアクションの動作は、管理の従兄弟にそっくりです。 許可するアクション (すべての場合は *) を指定し、NotDataActions コレクション内で削除する特定のアクションの一覧を指定できます。 いくつかの例を次に示します。 アクションとデータ アクションの完全な一覧については、リソース プロバイダーのドキュメントを参照してください。

割り当て可能なスコープ

Actions プロパティと NotActions プロパティを定義するだけでは、ロールを完全に実装するには不十分です。 さらに、ロールのスコープを適切に指定する必要があります。

ロールの AssignableScopes プロパティは、ロールを割り当て可能なスコープ (サブスクリプション、リソース グループ、またはリソース) を指定します。 カスタム ロールは、それを必要とするサブスクリプションまたはリソース グループに割り当てを限定することにより、それ以外のサブスクリプションまたはリソース グループについては元のユーザー エクスペリエンスを保ち、不要な混乱を避けることができます。

次に例をいくつか示します。

ロールを作成する

Microsoft Entra ID には組み込みロールが用意されており、お客様が実行したいことの 99% は網羅されているはずです。 可能な場合、組み込みロールを使用することをお勧めします。 しかしながら、必要に応じてカスタム ロールを作成することもできます。

いくつかのメカニズムを利用して新しいロールを作成できます。

• Microsoft Entra 管理センター: Microsoft Entra 管理センターを使用してカスタム ロールを作成するには、左側のメニューの [ロール] & [管理者] で [ロール] と [管理者] を選択し、[新しいカスタム ロール] を選択します。

• Azure portal: Azure portal を使用して、Microsoft Entra ID>のロールと管理者>から新しいカスタム ロールを選択して作成できます。

• Azure PowerShell: New-AzRoleDefinition コマンドレットを使用して、新しいロールを定義できます。

• Azure Graph API: Graph API の REST 呼び出しを使用して、プログラムによって新しいロールを作成できます。

このモジュールの「まとめ」セクションに、これらの方法に関するドキュメントへのリンクがあります。