ポータルを使用して、Azure リソースを管理するためのプライベートリンクを作成します

[アーティクル]
03/19/2024

この記事では、Azure Private Link を使用して、サブスクリプション内のリソースを管理するためのアクセスを制限する方法について説明します。 Azure portal を使用して、プライベートアクセスを介したリソース管理の設定について説明しています。

Private Link を使用すると、仮想ネットワーク内のプライベートエンドポイント経由で、Azure サービスにアクセスできます。プライベートリンクを Azure Resource Manager の操作と組み合わせると、特定のエンドポイントに存在しないユーザーがリソースを管理するのをブロックします。悪意のあるユーザーがサブスクリプション内のアカウントに対する資格情報を取得した場合、そのユーザーは特定のエンドポイントにいないとリソースを管理できません。

プライベートリンクのセキュリティ上の利点を次に示します。

プライベートアクセス - ユーザーは、プライベートネットワークからプライベートエンドポイントを経由してリソースを管理できます。

注意

現在、Azure Kubernetes Service (AKS) は ARM プライベートエンドポイント実装をサポートしていません。

Azure Bastion はプライベートリンクをサポートしていません。リソース管理のプライベートリンクのプライベートエンドポイント構成にはプライベート DNS ゾーンを使用することをお勧めしますが、management.azure.com の名前と重複しているため、Bastion インスタンスは動作しなくなります。詳細については、「Azure Bastion に関する FAQ」を参照してください。

アーキテクチャについての理解

重要

このリリースでは、ルート管理グループのレベルでのみプライベートリンク管理アクセスを適用できます。この制限は、プライベートリンクアクセスがテナント全体に適用されるという意味です。

プライベートリンクによる管理を実装するときに使用するリソースの種類は 2 つあります。

リソース管理のプライベートリンク (Microsoft.Authorization/resourceManagementPrivateLinks)
プライベートリンクの関連付け (Microsoft.Authorization/privateLinkAssociations)

次の図は、リソースを管理するためのアクセスを制限するソリューションの構築方法を示しています。

リソース管理のプライベートリンクの図

プライベートリンクの関連付けにより、ルート管理グループが拡張されます。プライベートリンクの関連付けとプライベートエンドポイントは、リソース管理のプライベートリンクを参照します。

重要

マルチテナントアカウントは現在、プライベートリンクを使用したリソースの管理をサポートしていません。異なるテナントのプライベートリンクの関連付けを、1 つのリソース管理プライベートリンクに接続することはできません。

アカウントが複数のテナントにアクセスする場合は、そのうちの 1 つにのみ、プライベートリンクを定義します。

ワークフロー

リソースのプライベートリンクを設定するには、次の手順に従います。この手順については、この記事の後半で詳しく説明します。

リソース管理のプライベートリンクを作成します。
プライベートリンクの関連付けを作成します。プライベートリンクの関連付けにより、ルート管理グループが拡張されます。また、リソース管理のプライベートリンクのリソース ID も参照します。
このリソース管理のプライベートリンクを参照するプライベートエンドポイントを追加します。

これらの手順を完了すると、スコープの階層内にある Azure リソースを管理できるようになります。サブネットに接続されているプライベートエンドポイントを使用します。

プライベートリンクへのアクセスを監視できます。詳細については、「ログ記録と監視」を参照してください。

必要なアクセス許可

重要

リソース管理のプライベートリンクを設定するには、次のアクセス権が必要です。

サブスクリプションでの所有者。このアクセス権は、リソース管理プライベートリンクリソースを作成する際必要です。
ルート管理グループで所有者または共同作成者。このアクセス権限は、プライベートリンクの関連付けリソースを作成する際に必要です。
Microsoft Entra ID の全体管理者には、ルート管理グループでロールを割り当てるアクセス許可が自動的に付与されるわけではありません。リソース管理プライベートリンクの作成を有効にするには、グローバル管理者が、ルート管理グループを読み取ってアクセス権を昇格し、テナント内のすべてのサブスクリプションと管理グループに対するユーザーアクセス管理者アクセス許可を持つアクセス許可を持つ必要があります。ユーザーアクセス管理者のアクセス権を取得した後、グローバル管理者は、プライベートリンクの関連付けを作成するユーザーに、ルート管理グループの所有者または共同作成者のアクセス権を付与する必要があります。

リソース管理のプライベートリンクを作成する

リソース管理のプライベートリンクを作成すると、プライベートリンクの関連付けが自動的に作成されます。

ポータルで、「リソース管理のプライベートリンク」を検索し、使用可能なオプションから選択します。
サブスクリプションにリソース管理のプライベートリンクがまだない場合は、空のページが表示されます。 [リソース管理のプライベートリンクを作成する] を選択します。
新しいリソース管理のプライベートリンクの値を指定します。新しいリソースには、選択したディレクトリのルート管理グループが使用されます。 [Review + create](レビュー + 作成) を選択します。
検証に合格した後、 [作成] を選択します。

プライベートエンドポイントの作成

次に、このリソース管理のプライベートリンクを参照するプライベートエンドポイントを作成します。

[Private Link センター] に移動します。 [プライベートエンドポイントの作成] を選択します。
[基本] タブで、プライベートエンドポイントの値を指定します。
[リソース] タブで [Connect to an Azure resource in my directory](マイディレクトリ内の Azure リソースに接続する) を選択します。リソースの種類として、Microsoft.Authorization/resourceManagementPrivateLinks を選択します。ターゲットサブリソースには、ResourceManagement を選択します。
[構成] タブで、仮想ネットワークを選択します。プライベート DNS ゾーンと統合することをお勧めします。 [Review + create](レビュー + 作成) を選択します。
検証に合格した後、 [作成] を選択します。