はじめに
クラウド環境における権限の変更検知は、不正な権限付与や誤ったロール割り当てを早期に検知する観点から重要な監視項目の一つです。
Microsoft Azure(以下、Azure)における権限は、ユーザーやグループ等の各プリンシパルへ特定の操作・対象の権限を持ったロールを付与する形で管理されています。したがって、ロールの付与と削除を検知することで、権限設定の変更を把握することが可能です。
そこで、本記事ではロールの付与と削除に関する変更検知のアラートを設定する手順について解説します。
前提
以下説明する手順では、特定のサブスクリプション内における権限の変更、つまりロールの割り当てと削除を検知するアラートルールについて解説します。
このアラートルールを用いることで、当該サブスクリプションやそれに含まれるリソースでのロール割り当てが変更した際に通知やアクションを起こすことが可能になります。
アラートの作成方法
以下の手順でアラートルールを作成します。ロールの割り当てと削除それぞれでルールが必要になりますので、両方の検知をする場合は手順を繰り返して作成してください。
1. Azureポータルにログインし、アラートルールの作成画面へ移動
- Azureポータルにアラート作成に必要な権限を持つユーザーでログイン
- 画面上部の検索欄に「アラート」を入力し、表示された「アラート」を選択
- 画面上部の「+ 作成」ボタンから「アラート ルール」を選択
2. スコープの選択
- 「スコープ」タブで対象のサブスクリプションを指定
本記事ではサブスクリプション全体を監視するためサブスクリプションを選択します。
特定のリソースグループを対象にする場合などは必要に応じてスコープを調整してください。
3. 条件の設定
- 「条件」タブに移動
- シグナル名で「すべてのシグナル」をクリックし、一覧から 「ロールの割り当ての作成（ロールの割り当て）」 を検索して選択
- ロールの削除を検知する場合は 「ロールの割り当ての削除（ロールの割り当て）」 を選択
- アラートロジックの条件は必要に応じて設定
アクティビティログでは１操作で開始と成功、失敗等の複数のログが出力されるため、状態をすべて対象にした場合は同時に複数のアラートが発報されます。
必要に応じて「開始」のみに絞るなど調整してください。
4. アクショングループの選択/作成
- 「アクション」タブに移動
- 既存のアクショングループを使用する場合
- 「+ アクショングループの選択」を選択してグループを選択
- 新規のアクショングループを作成する場合
- 「+ アクショングループの作成」を選択して、アクショングループの作成画面を表示
- 必要な情報を入力し、アクショングループを作成して選択
参考：Azure Monitor のアクション グループ - Azure Monitor | Microsoft Learn
5. アラートルールの詳細設定
- 「詳細」タブに移動
- アラートを作成するリソースグループを作成または選択
- アラートルール名、説明を入力
6. アラートルールの作成
- 必要に応じてタグを設定
- 「確認および作成」タブで「作成」を選択してアラートルールを作成
動作確認
上記手順でアラートの作成は完了しましたので、実際にアラートが動作するか確認してみましょう。
確認のため、スコープに含まれる適当なリソースにて、ロールの割り当て設定を実施します。
ロールの割り当て画面を開き、
適当なユーザーに権限（閲覧者）を付与。
しばらく待つと（今回は5分程度でした）、設定したメールアドレスに変更のアラートが到着します。
アラート画面で確認すると、変更内容の詳細が確認できます。実際にアラートが届いた際は、この画面から操作者や対象リソースを確認することになると思います。
注意点
実際に監視を設定する場合、アラートのスコープや検知する条件は要件に合わせてカスタマイズしてください。
ただ、本機能はAzure組み込みのシグナルを使用している関係上、細かい条件などは指定できません。要件で条件を細かく指定する必要がある場合等は、カスタムログ検索でのアラート作成やサードパーティーの監視ツールの導入を検討してください。
ちなみにカスタムログ検索を使用する場合は、今回使用したシグナルの実態がアクティビティログに含まれる「Microsoft.Authorization/roleAssignments/write」の検知のため、この操作を対象とした条件を作成することでカスタマイズしたアラートが作成可能です。
終わりに
今回紹介した方法で、Azureサブスクリプション内の権限変更を自動で検知し、メール通知を含めた任意のアクションを実行することができます。
権限管理の透明性を高め、セキュリティインシデントの早期発見に役立てていただければ幸いです。
- Microsoft Azure は，Microsoft Corporation の商標または登録商標です
- その他、記載されている会社名および商品・製品・サービス名は、各社の商標または登録商標です