ARM テンプレートを使用したテナントのデプロイ

[アーティクル]
03/20/2024

組織が成熟するにつれて、ポリシーまたは Azure ロールベースのアクセス制御 (Azure RBAC) を定義し、Microsoft Entra テナント全体に割り当てる必要性が生じることがあります。テナントレベルのテンプレートを使用すると、宣言によってポリシーを適用し、グローバルレベルでロールを割り当てることができます。

ヒント

ARM テンプレートと同じ機能を備え、構文も使いやすいため、Bicep をお勧めします。詳細については、テナントのデプロイに関するページを参照してください。

サポートされているリソース

すべてのリソースの種類をテナントレベルにデプロイできるわけではありません。このセクションでは、サポートされているリソースの種類を示します。

Azure のロールベースのアクセス制御 (Azure RBAC) では、以下を使用します。

roleAssignments

管理グループ、サブスクリプション、またはリソースグループにデプロイする入れ子になったテンプレートでは、以下を使用します。

deployments

管理グループを作成するには、以下を使用します。

managementGroups

サブスクリプションを作成するには、以下を使用します。

aliases

コストを管理するには、以下を使用します。

ポータルを構成するには、以下を使用します。

tenantConfigurations

組み込みのポリシー定義はテナントレベルのリソースですが、カスタムポリシー定義をテナントにデプロイすることはできません。組み込みのポリシー定義をリソースに割り当てる例については、「Tenantresourceid の例」を参照してください。

スキーマ

テナントのデプロイに使用するスキーマは、リソースグループのデプロイ用のスキーマとは異なります。

テンプレートの場合は、次を使用します。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-08-01/tenantDeploymentTemplate.json#",
  ...
}

パラメーターファイルのスキーマはすべてのデプロイ範囲で同じです。パラメーターファイルの場合は、次を使用します。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
  ...
}

必要なアクセス

テンプレートをデプロイするプリンシパルには、テナントのスコープでリソースを作成するためのアクセス許可が必要です。このプリンシパルには、デプロイアクション (Microsoft.Resources/deployments/*) を実行し、テンプレートに定義されているリソースを作成するためのアクセス許可が必要です。たとえば、管理グループを作成するには、プリンシパルにテナントのスコープの共同作成者アクセス許可が必要です。ロールの割り当てを作成するには、プリンシパルに所有者アクセス許可が必要です。

Microsoft Entra ID の全体管理者には、ロールを割り当てるアクセス許可が自動的に付与されるわけではありません。テナントのスコープでテンプレートのデプロイを有効にするには、全体管理者が次の手順を実行する必要があります。

全体管理者がロールを割り当てることができるように、アカウントのアクセス権を昇格させます。詳細については、「Azure のすべてのサブスクリプションと管理グループを管理する目的でアクセス権限を昇格させる」を参照してください。

テンプレートをデプロイする必要があるプリンシパルに、所有者または共同作成者を割り当てます。

New-AzRoleAssignment -SignInName "[userId]" -Scope "/" -RoleDefinitionName "Owner"

az role assignment create --assignee "[userId]" --scope "/" --role "Owner"

これで、テンプレートをデプロイするために必要なアクセス許可がプリンシパルに付与されました。

デプロイコマンド

テナントのデプロイ用のコマンドは、リソースグループのデプロイ用のコマンドとは異なります。

Azure CLI
PowerShell

Azure CLI の場合は、az deployment tenant create を使用します。

az deployment tenant create \
  --name demoTenantDeployment \
  --location WestUS \
  --template-uri "https://raw.githubusercontent.com/Azure/azure-quickstart-templates/master/tenant-deployments/new-mg/azuredeploy.json"

Azure PowerShell の場合は New-AzTenantDeployment を使用します。

New-AzTenantDeployment `
  -Name demoTenantDeployment `
  -Location "West US" `
  -TemplateUri "https://raw.githubusercontent.com/Azure/azure-quickstart-templates/master/tenant-deployments/new-mg/azuredeploy.json"

ARM テンプレートをデプロイするためのデプロイコマンドとオプションの詳細については、以下を参照してください。

デプロイの場所と名前

テナントレベルのデプロイの場合は、デプロイの場所を指定する必要があります。デプロイの場所は、デプロイするリソースの場所とは異なります。デプロイの場所では、デプロイデータを格納する場所を指定します。サブスクリプションおよび管理グループのデプロイにも場所が必要です。リソースグループのデプロイの場合、リソースグループの場所を使用してデプロイデータを格納します。

デプロイ名を指定することも、既定のデプロイ名を使用することもできます。既定の名前は、テンプレートファイルの名前です。たとえば、azuredeploy.json という名前のテンプレートをデプロイすると、既定のデプロイ名として azuredeploy が作成されます。

デプロイ名ごとに、場所を変更することはできません。ある場所にデプロイを作成しようとしても、別の場所に同じ名前の既存のデプロイがあると、作成することはできません。たとえば、centralus で deployment1 という名前のテナントのデプロイを作成した場合、後でdeployment1 という名前の別のデプロイを westus の場所に作成することはできません。エラーコード InvalidDeploymentLocation が表示された場合は、別の名前を使用するか、その名前の以前のデプロイと同じ場所を使用してください。

デプロイのスコープ

テナントにデプロイする際には、リソースを以下にデプロイできます。

テナント
テナント内の管理グループ
subscriptions
リソースグループ

拡張リソースは、デプロイターゲットとは異なるターゲットにスコープ設定できます。

テンプレートをデプロイするユーザーは、特定のスコープにアクセスできる必要があります。

このセクションでは、異なるスコープを指定する方法について説明します。これらの異なるスコープを 1 つのテンプレートで結合することができます。

テナントへのスコープ

テンプレートのリソースセクション内で定義されたリソースは、テナントに適用されます。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-08-01/tenantDeploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "resources": [
    tenant-resources
  ],
  "outputs": {}
}

管理グループへのスコープ

テナント内で管理グループを対象にするには、入れ子になったデプロイを追加し、scope プロパティを指定します。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-08-01/tenantDeploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "mgName": {
      "type": "string"
    }
  },
  "variables": {
    "mgId": "[concat('Microsoft.Management/managementGroups/', parameters('mgName'))]"
  },
  "resources": [
    {
      "type": "Microsoft.Resources/deployments",
      "apiVersion": "2022-09-01",
      "name": "nestedMG",
      "scope": "[variables('mgId')]",
      "location": "eastus",
      "properties": {
        "mode": "Incremental",
        "template": {
          management-group-resources
        }
      }
    }
  ],
  "outputs": {}
}

サブスクリプションへのスコープ

また、テナント内のサブスクリプションを対象にすることもできます。テンプレートをデプロイするユーザーは、特定のスコープにアクセスできる必要があります。

テナント内のサブスクリプションを対象にするには、入れ子になったデプロイと subscriptionId プロパティを使用します。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-08-01/tenantDeploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "resources": [
    {
      "type": "Microsoft.Resources/deployments",
      "apiVersion": "2021-04-01",
      "name": "nestedSub",
      "location": "westus2",
      "subscriptionId": "00000000-0000-0000-0000-000000000000",
      "properties": {
        "mode": "Incremental",
        "template": {
          "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
          "contentVersion": "1.0.0.0",
          "resources": [
            {
              subscription-resources
            }
          ]
        }
      }
    }
  ]
}

リソースグループへのスコープ

また、テナント内のリソースグループを対象にすることもできます。テンプレートをデプロイするユーザーは、特定のスコープにアクセスできる必要があります。

そのテナント内のリソースグループを対象にするには、入れ子になったデプロイを使用します。 subscriptionId と resourceGroup プロパティを設定します。入れ子になったデプロイの場所はリソースグループの場所にデプロイされているため、設定しないでください。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-08-01/tenantDeploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "resources": [
    {
      "type": "Microsoft.Resources/deployments",
      "apiVersion": "2021-04-01",
      "name": "nestedRGDeploy",
      "subscriptionId": "00000000-0000-0000-0000-000000000000",
      "resourceGroup": "demoResourceGroup",
      "properties": {
        "mode": "Incremental",
        "template": {
          "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
          "contentVersion": "1.0.0.0",
          "resources": [
            {
              resource-group-resources
            }
          ]
        }
      }
    }
  ]
}

管理グループの作成

次のテンプレートを使うと、管理グループを作成できます。

{
    "$schema": "https://schema.management.azure.com/schemas/2019-08-01/tenantDeploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
      "mgName": {
        "type": "string",
        "defaultValue": "[concat('mg-', uniqueString(newGuid()))]"
      }
    },
    "resources": [
      {
        "type": "Microsoft.Management/managementGroups",
        "apiVersion": "2020-02-01",
        "name": "[parameters('mgName')]",
        "properties": {
        }
      }
    ]
  }

テナントにデプロイするためのアクセス許可がアカウントにない場合でも、別のスコープにデプロイすることによって管理グループを作成できます。詳細については、「管理グループ」を参照してください。

ロールを割り当てる

次のテンプレートを使うと、テナントのスコープでロールを割り当てることができます。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-08-01/tenantDeploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "metadata": {
    "_generator": {
      "name": "bicep",
      "version": "0.5.6.12127",
      "templateHash": "17107802581699825924"
    }
  },
  "parameters": {
    "principalId": {
      "type": "string",
      "metadata": {
        "description": "principalId if the user that will be given contributor access to the tenant"
      }
    },
    "roleDefinitionId": {
      "type": "string",
      "defaultValue": "8e3af657-a8ff-443c-a75c-2fe8c4bcb635",
      "metadata": {
        "description": "roleDefinition for the assignment - default is owner"
      }
    }
  },
  "variables": {
    "roleAssignmentName": "[guid('/', parameters('principalId'), parameters('roleDefinitionId'))]"
  },
  "resources": [
    {
      "type": "Microsoft.Authorization/roleAssignments",
      "apiVersion": "2020-03-01-preview",
      "name": "[variables('roleAssignmentName')]",
      "properties": {
        "roleDefinitionId": "[tenantResourceId('Microsoft.Authorization/roleDefinitions', parameters('roleDefinitionId'))]",
        "principalId": "[parameters('principalId')]"
      }
    }
  ]
}

次のステップ

ロールの割り当ての詳細については、「Azure Resource Manager テンプレートを使用して Azure でのロールを割り当てる」を参照してください。
また、サブスクリプションレベルまたは管理グループレベルでテンプレートをデプロイすることもできます。