Azure Stack Hub でロールベースのアクセス制御を使用してリソースへのアクセスを管理する

[アーティクル]
12/01/2023

Azure Stack Hub はロールベースのアクセス制御 (RBAC) をサポートしますが、これはアクセス管理のためのセキュリティモデルであり、Microsoft Azure が使用するものと同じです。 RBAC を使用して、ユーザー、グループ、またはアプリによるサブスクリプション、リソース、およびサービスへのアクセスを管理することができます。

アクセス管理の基礎

ロールベースのアクセス制御 (RBAC) は、環境をセキュリティで保護するために使用できるきめ細やかなアクセス制御を提供します。特定のスコープで RBAC のロールを割り当てることによって、ユーザーに必要な正しいアクセス許可をユーザーに付与します。ロール割り当てのスコープには、サブスクリプション、リソースグループ、または単独のリソースを指定できます。アクセス管理の詳細については、Azure portal でのロールベースのアクセス制御に関する記事を参照してください。

注意

Active Directory フェデレーションサービス (AD FS) を使用して Azure Stack Hub を ID プロバイダーとしてデプロイした場合、RBAC シナリオではユニバーサルグループのみがサポートされます。

組み込みのロール

Azure Stack Hub には、すべてのリソースの種類に適用できる 3 つの基本的なロールがあります:

所有者: リソースへのアクセスを含め、すべてを管理できます。
共同作業者: リソースへのアクセス以外のすべてを管理できます。
閲覧者: すべてを閲覧できますが、変更を加えることはできません。

リソース階層と継承

Azure Stack Hub には、次のリソース階層があります:

各サブスクリプションは、1 つのディレクトリに属しています。
各リソースグループは、1 つのサブスクリプションに属しています。
各リソースは、1 つのリソースグループに属しています。

親スコープで付与されたアクセス権は、子スコープに継承されます。次に例を示します。

閲覧者ロールは、サブスクリプションスコープでMicrosoft Entra グループに割り当てます。そのグループのメンバーは、サブスクリプション内のすべてのリソースグループとすべてのリソースを表示できるようになります。
共同作成者ロールをリソースグループスコープでアプリに割り当てます。そのアプリでは、そのリソースグループ内のすべてのタイプのリソースを管理できるようになりますが、サブスクリプション内の他のリソースグループは管理できません。

ロールの割り当て

ユーザーに複数のロールを割り当てることができ、各ロールを異なるスコープに関連付けることができます。次に例を示します。

Subscription-1 の閲覧者ロールを TestUser-A に割り当てます。
TestVM-1 の所有者ロールを TestUser-A に割り当てます。

Azure のロールの割り当ての記事では、ロールの表示、割り当て、および削除について詳細が説明されています。

ユーザーのアクセス権限の設定

次の手順では、ユーザーのアクセス許可の構成方法について説明します。

管理するリソースへの所有者アクセス許可があるアカウントでサインインします。
左側のナビゲーションペインで、 [リソースグループ] を選択します。
アクセス許可を設定するリソースグループの名前を選択します。
リソースグループのナビゲーションペインで、[アクセス制御 (IAM)] を選択します。
[ロールの割り当て] ビューに、リソースグループへのアクセス権を持つ項目が一覧表示されます。結果はフィルター処理してグループ化できます。
[アクセス制御] メニューバーで、[追加] を選択します。
[アクセス許可の追加] ウィンドウで:
- 割り当てるロールを [ロール] ドロップダウンリストから選択します。
- 割り当てるリソースを [アクセスの割り当て先] ドロップダウンリストから選択します。
- ディレクトリで、アクセス権を付与するユーザー、グループ、またはアプリを選択します。ディレクトリは、表示名、電子メールアドレス、およびオブジェクト識別子を使用して検索できます。
[保存] を選択します。

次のステップ

サービスプリンシパルの作成