Azure 勉強メモ (Azure AD と RBAC)

1. Azure AD と Azure サブスクリプション

• Azure ADテナントは1つの組織に対応し、グローバルに一意なドメインを持つ。
• Azure ADテナントとAzure ADディレクトリは一対一であり、この2つはほとんど同義で使われる。
• 2つのADテナント間でIDを共有、同期することは出来ない。ただし、ゲストユーザとして招待することが出来る。
• Azureサブスクリプションのサインアップ時、Azure ADテナントを1つだけ信頼する必要がある。
• Azure ADとAzureサブスクリプションの関係は、包含ではなく信頼。請求書、支払いもADとサブスクでは別々。
• Azure ADテナントを単体で取得することは出来ない。AzureサブスクやOffice365にサインアップしたときに取得する。

2. Azure AD ユーザ、グループ

• Azure ADのユーザには、ロールやライセンス、アプリケーションアクセス許可が割り当てられる。グループを通して間接的に割り当てることも出来る。
• グループのメンバ管理方法をグループメンバーシップという。
  • 「割り当て済み」: 手動でユーザをグループに加入、グループから脱退。
  • 「動的ユーザ」: 予め作成したクエリにしたがって、属性の指定により自動で加入、脱退。

3. RBAC

3.1. ロールとRBAC

• AzureとAzure ADにはそれぞれ膨大なアクセスアクセス許可があり、関連するアクセス許可をまとめたものをロールという。
• ロールを通じてユーザのアクセス許可を制御することを、ロールベースのアクセス制御 (Role-Based Access Control, RBAC) と呼ぶ。
• Azureリソースロール と Azure ADロール は別物。

3.2. ロールの割り当て(プリンシパルとスコープ)

• ロールを割り当てるときには、セキュリティプリンシパルとスコープを定める。
  • セキュリティプリンシパル とは、リソースにアクセスする主体のことを指す。
  • スコープ とは、アクセス許可が適用されるリソースの範囲を指す。
• スコープには4つの階層がある。上位から順に..
  • 管理グループ
  • サブスクリプション
  • リソースグループ
  • リソース
• 上位階層をスコープとして割り当てられたロールは、下位階層に継承される。

3.3. 代表的な Azure リソースロール

• 組み込みのAzureリソースロールのうち、代表的なもののロール名、およびアクセス許可の内容を以下にまとめる。

	読み取り (課金)	読み取り (全て)	書き込み (xxx)	書き込み (全て)	RBAC 割り当て
所有者	○	○	○	○	○
共同作成者	○	○	○	○
xxx共同作成者	○	○	○
閲覧者	○	○
課金データ閲覧者	○

3.4. PIMを利用した期限付き割り当て

• Priviliged Identity Management, PIM を利用することで、セキュリティプリンシパルへのロール割り当てを永続ではなく期限付きに制御することが出来る。

• 設定方法の違い

  • 永続割り当てはAzureリソース側で実施
    • Azureポータルより割り当て対象スコープ(e.g. サブスク)の画面に遷移して、そのスコープのIAM管理コンソールにてロールとセキュリティプリンシパルを指定する。
    • 「スコープ→IAM」の順に遷移することに注意。
  • PIMによる期限付き割り当てはAzure AD側で実施
    1. Azure AD側でPIM設定の初期化(サブスクのオンボード)を実施
    2. オンボードしたAzureサブスクのリソースロールを対象に、PIMの設定(MFAや承認の要否といった、ロールアクティブ化の条件)を実施
    3. PIM設定を行ったリソースロールについて、割り当て(セキュリティプリンシパルとスコープの指定)を実施
  • PIMによる割り当てには「割り当ての種類」というオプションがあり、「対象」と「アクティブ」のうちから値を選択することになる。
  • 常にアクティブとなるのが「アクティブ」、アクティブ化する資格のみ付与するのが「対象」(eligible)。

参考資料

• 竹島友理 (2020) 『ひと目でわかるAzure Active Directory 第3版』 日経BP
• RBACの公式ドキュメントポータル
  • https://docs.microsoft.com/ja-jp/azure/role-based-access-control/