初心者向け2020.09.18皆さまこんにちは。今回は、Azureリソースへのアクセス権管理機能である「RBAC(ロールベースのアクセス制御)」と、必要なアクセス権を組み合わせて独自のロールを作成できる「カスタムロール」について、作成・割り当て方法も含めてご紹介いたします。概要RBAC(ロールベースのアクセス制御)とは、Azureのリソースにアクセスできるユーザーを制限したり、ユーザーがリソースに対して行える操作を制限したりできる、Azureリソースへのアクセス権管理機能です。RBACを使うことで、例えば技術部のリソースグループと配下のリソースには技術部メンバーのみがアクセスできるように制限したり、ネットワーク管理者がテナント内のネットワーク関連リソースのみにアクセスできるように制限したりなど、各ユーザーのロール(役割)に応じたアクセス権を付与することができます。ITインフラの管理において「最小特権の原則」に則った運用はセキュリティ観点からも非常に重要であり、Azureでもタスク遂行のために必要な最小限の特権をユーザーに付与してセキュリティを向上させることが推奨されています。RBACではあらかじめアクセス許可(例えば仮想マシンの読み取りを許可など)を組み合わせて作成された「組み込みロール」が複数用意されており、このロールをユーザーに割り当てることで簡単に最小特権の原則を実現することができます。必要なアクセス権の要件が組み込みロールでは満たせない場合、ロールの定義を自分で組み合わせて独自の「カスタムロール」を作成してユーザーに割り当てることも可能です。RBACの要素ロールの割り当ては以下3つの要素で構成され、これらの要素をそれぞれ選択してロールの割り当てを行うことで、RBACによるアクセス制限が有効化されます。セキュリティプリンシパルロール定義スコープセキュリティプリンシパルセキュリティプリンシパルはAzureリソースへのアクセスを要求する対象を表すオブジェクトです。ロールの割り当てを構成する要素の一つで、「誰に対して」アクセス権を割り当てるかを選択します。セキュリティプリンシパルで設定できる対象は以下の4つです。AD内のIDロール定義ロール定義は複数のアクセス許可を組み合わせたコレクションです。ロール割り当てを構成する要素の一つで、「どのようなアクセス権を」割り当てるかを選択します。ロール定義には、あらかじめ用意されている「組み込みロール」と、独自にアクセス許可を組み合わせて作成できる「カスタムロール」があります。組み込みロールはAzureで複数用意されており、以下が代表的なロールです。上記の組み込みロールは全てのAzureリソースへのアクセス権を付与できますが、これ以外の組み込みロールでは特定のAzureリソースへのアクセス権を付与します。仮想マシン共同作成者ロールやネットワーク共同作成者ロールなどのように、特定のAzureリソースに対してのみのアクセス権を付与することができます。カスタムロールでは独自にアクセス許可を組み合わせてロール定義を作成することができます。組み込みロールで用意されていないアクセス制御が必要な場合は、GUIやJSONで1からカスタムロールを作成するか、既存のロール定義を元に編集して作成することで、独自のロール定義(カスタムロール)を利用したアクセス制限が可能になります。スコープスコープはアクセス権が適用されるリソース(リソース群)です。ロール割り当てを構成する要素の一つで、「どのリソースを対象に」アクセス権を割り当てるかを選択します。スコープとして選択できるのは以下4つです。管理グループ-複数のサブスクリプションを管理サブスクリプション-複数のリソースグループを管理リソースグループ-複数のリソースを管理リソース-個々のAzureリソーススコープは上から順に親子関係で階層化されています。そのため、例えばスコープとしてサブスクリプションを選択した場合、サブスクリプション配下の全てのリソースグループ、リソースがスコープの対象となります。既存の組み込みロールでは上記4つのスコープを選択可能ですが、カスタムロールではスコープとしてサブスクリプションかリソースグループのみ選択可能なのでご注意ください。今回はRBACの設定方法について、以下3つをご紹介します。Portalにサインインし、アクセス制御が正常に動作していることを確認まとめ今回はAzureリソースへのアクセス権管理機能であるRBAC(ロールベースのアクセス制御)の設定方法とカスタムロールの作成方法をご紹介しました。RBACでは初めから多くの組み込みロールが用意されているため、ユーザーのアクセス権管理を簡単に行うことができます。組み込みロールで用意されていないロール定義が必要な場合は、独自のカスタムロールを作成することができるので、より柔軟なアクセス権管理が可能になります。Portalにアクセス可能なユーザーに対しては、最小特権の原則を元にRBACの適切なロールを割り当ててアクセス権を管理することをお勧めします。C&S株式会社に入社後、Azureのプリセールスエンジニアとして案件支援、新規サービスの技術検証などに従事。クラウド、AIのエキスパートエンジニアを目指し、日々邁進中。