ARM テンプレートを使用した管理グループへのデプロイ

[アーティクル]
03/20/2024

成熟している組織では、Azure Resource Manager テンプレート (ARM テンプレート) をデプロイして、管理グループレベルでリソースを作成することができます。たとえば、場合によっては、管理グループのポリシーや Azure ロールベースのアクセス制御 (Azure RBAC) を定義して、割り当てる必要があります。管理グループレベルのテンプレートがあれば、宣言という方法を用いて管理グループレベルでポリシーを適用し、ロールを割り当てることができます。

ヒント

ARM テンプレートと同じ機能を備え、構文も使いやすいため、Bicep をお勧めします。詳細については、「管理グループの展開」を参照してください。

サポートされているリソース

すべてのリソースの種類を管理グループレベルにデプロイできるわけではありません。このセクションでは、サポートされているリソースの種類を示します。

Azure Blueprints では、以下を使用します。

Azure Policy では、以下を使用します。

アクセス制御には、以下を使用します。

サブスクリプションまたはリソースグループにデプロイする入れ子になったテンプレートでは、以下を使用します。

deployments

リソースを管理する場合は、以下を使用します。

管理グループは、テナントレベルのリソースです。ただし、新しい管理グループのスコープをテナントに設定することにより、管理グループのデプロイで管理グループを作成できます。「管理グループ」を参照してください。

スキーマ

管理グループのデプロイに使用するスキーマは、リソースグループのデプロイ用のスキーマとは異なります。

テンプレートの場合は、次を使用します。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-08-01/managementGroupDeploymentTemplate.json#",
  ...
}

パラメーターファイルのスキーマはすべてのデプロイ範囲で同じです。パラメーターファイルの場合は、次を使用します。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
  ...
}

デプロイコマンド

管理グループにデプロイするには、管理グループのデプロイコマンドを使用します。

Azure CLI
PowerShell

Azure CLI の場合は、az deployment mg create を使用します。

az deployment mg create \
  --name demoMGDeployment \
  --location WestUS \
  --management-group-id myMG \
  --template-uri "https://raw.githubusercontent.com/Azure/azure-docs-json-samples/master/management-level-deployment/azuredeploy.json"

Azure PowerShell では、New-AzManagementGroupDeployment を使用します。

New-AzManagementGroupDeployment `
  -Name demoMGDeployment `
  -Location "West US" `
  -ManagementGroupId "myMG" `
  -TemplateUri "https://raw.githubusercontent.com/Azure/azure-docs-json-samples/master/management-level-deployment/azuredeploy.json"

ARM テンプレートをデプロイするためのデプロイコマンドとオプションの詳細については、以下を参照してください。

デプロイの場所と名前

管理グループレベルのデプロイの場合、デプロイの場所を指定する必要があります。デプロイの場所は、デプロイするリソースの場所とは異なります。デプロイの場所では、デプロイデータを格納する場所を指定します。サブスクリプションおよびテナントのデプロイにも場所が必要です。リソースグループのデプロイの場合、リソースグループの場所を使用してデプロイデータを格納します。

デプロイ名を指定することも、既定のデプロイ名を使用することもできます。既定の名前は、テンプレートファイルの名前です。たとえば、azuredeploy.json という名前のテンプレートをデプロイすると、既定のデプロイ名として azuredeploy が作成されます。

デプロイ名ごとに、場所を変更することはできません。ある場所にデプロイを作成しようとしても、別の場所に同じ名前の既存のデプロイがあると、作成することはできません。たとえば、centralus で deployment1 という名前の管理グループのデプロイを作成した場合、後で deployment1 という名前の別のデプロイを westus の場所に作成することはできません。エラーコード InvalidDeploymentLocation が表示された場合は、別の名前を使用するか、その名前の以前のデプロイと同じ場所を使用してください。

デプロイのスコープ

管理グループにデプロイする際には、リソースを以下にデプロイできます。

操作のターゲット管理グループ
テナント内の別の管理グループ
管理グループ内のサブスクリプション
管理グループ内のリソースグループ
リソースグループのテナント

拡張リソースは、デプロイターゲットとは異なるターゲットにスコープ設定できます。

テンプレートをデプロイするユーザーは、特定のスコープにアクセスできる必要があります。

このセクションでは、異なるスコープを指定する方法について説明します。これらの異なるスコープを 1 つのテンプレートで結合することができます。

ターゲット管理グループへのスコープ

テンプレートのリソースセクション内で定義されたリソースは、デプロイコマンドで指定された管理グループに適用されます。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-08-01/managementGroupDeploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "resources": [
    management-group-resources-default
  ],
  "outputs": {}
}

別の管理グループへのスコープ

別の管理グループを対象にするには、入れ子になったデプロイを追加し、scope プロパティを指定します。 scope プロパティを Microsoft.Management/managementGroups/<mg-name> という形式の値に設定します。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-08-01/managementGroupDeploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "mgName": {
      "type": "string"
    }
  },
  "variables": {
    "mgId": "[format('Microsoft.Management/managementGroups/{0}', parameters('mgName'))]"
  },
  "resources": [
    {
      "type": "Microsoft.Resources/deployments",
      "apiVersion": "2022-09-01",
      "name": "nestedDeployment",
      "scope": "[variables('mgId')]",
      "location": "eastus",
      "properties": {
        "mode": "Incremental",
        "template": {
          management-group-resources-non-default
        }
      }
    }
  ],
  "outputs": {}
}

サブスクリプションへのスコープ

また、管理グループ内のサブスクリプションを対象にすることもできます。テンプレートをデプロイするユーザーは、特定のスコープにアクセスできる必要があります。

管理グループ内のサブスクリプションを対象にするには、入れ子になったデプロイと subscriptionId プロパティを使用します。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-08-01/managementGroupDeploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "resources": [
    {
      "type": "Microsoft.Resources/deployments",
      "apiVersion": "2022-09-01",
      "name": "nestedSub",
      "location": "westus2",
      "subscriptionId": "00000000-0000-0000-0000-000000000000",
      "properties": {
        "mode": "Incremental",
        "template": {
          "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
          "contentVersion": "1.0.0.0",
          "resources": [
            {
              subscription-resources
            }
          ]
        }
      }
    }
  ]
}

リソースグループへのスコープ

また、管理グループ内のリソースグループを対象にすることもできます。テンプレートをデプロイするユーザーは、特定のスコープにアクセスできる必要があります。

その管理グループ内のリソースグループを対象にするには、入れ子になったデプロイを使用します。 subscriptionId と resourceGroup プロパティを設定します。入れ子になったデプロイの場所は設定しないでください。これは、リソースグループの場所にデプロイされるためです。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-08-01/managementGroupDeploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "resources": [
    {
      "type": "Microsoft.Resources/deployments",
      "apiVersion": "2022-09-01",
      "name": "nestedRGDeploy",
      "subscriptionId": "00000000-0000-0000-0000-000000000000",
      "resourceGroup": "demoResourceGroup",
      "properties": {
        "mode": "Incremental",
        "template": {
          "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
          "contentVersion": "1.0.0.0",
          "resources": [
            {
              resource-group-resources
            }
          ]
        }
      }
    }
  ]
}

サブスクリプション内にリソースグループを作成し、そのリソースグループにストレージアカウントをデプロイするために、管理グループのデプロイを使用するには、「サブスクリプションとリソースグループにデプロイする」を参照してください。

テナントへのスコープ

テナントでリソースを作成するには、scope を / に設定します。テンプレートをデプロイするユーザーには、テナントでデプロイするための必要なアクセス権が必要です。

入れ子になったデプロイを使用するには、scope と location を設定します。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-08-01/managementGroupDeploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "resources": [
    {
      "type": "Microsoft.Resources/deployments",
      "apiVersion": "2022-09-01",
      "name": "nestedDeployment",
      "location": "centralus",
      "scope": "/",
      "properties": {
        "mode": "Incremental",
        "template": {
          tenant-resources
        }
      }
    }
  ],
  "outputs": {}
}

または、管理グループなどの一部のリソースの種類に対して、スコープを / に設定することもできます。新しい管理グループの作成については、次のセクションで説明します。

管理グループ

管理グループのデプロイで管理グループを作成するには、管理グループのスコープを / に設定する必要があります。

次の例では、ルート管理グループに新しい管理グループを作成します。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-08-01/managementGroupDeploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "mgName": {
      "type": "string",
      "defaultValue": "[concat('mg-', uniqueString(newGuid()))]"
    }
  },
  "resources": [
    {
      "type": "Microsoft.Management/managementGroups",
      "apiVersion": "2021-04-01",
      "name": "[parameters('mgName')]",
      "scope": "/",
      "location": "eastus",
      "properties": {}
    }
  ],
  "outputs": {
    "output": {
      "type": "string",
      "value": "[parameters('mgName')]"
    }
  }
}

次の例では、親として指定された管理グループに新しい管理グループを作成します。スコープが / に設定されていることに注意してください。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-08-01/managementGroupDeploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "mgName": {
      "type": "string",
      "defaultValue": "[concat('mg-', uniqueString(newGuid()))]"
    },
    "parentMG": {
      "type": "string"
    }
  },
  "resources": [
    {
      "name": "[parameters('mgName')]",
      "type": "Microsoft.Management/managementGroups",
      "apiVersion": "2021-04-01",
      "scope": "/",
      "location": "eastus",
      "properties": {
        "details": {
          "parent": {
            "id": "[tenantResourceId('Microsoft.Management/managementGroups', parameters('parentMG'))]"
          }
        }
      }
    }
  ],
  "outputs": {
    "output": {
      "type": "string",
      "value": "[parameters('mgName')]"
    }
  }
}

サブスクリプション

ARM テンプレートを使用して、管理グループに新しい Azure サブスクリプションを作成するには、以下を参照してください。

既存の Azure サブスクリプションを新しい管理グループに移動するテンプレートをデプロイする場合は、「ARM テンプレートでのサブスクリプションの移動」を参照してください

Azure Policy

管理グループにデプロイされているカスタムポリシー定義は、管理グループの拡張機能です。カスタムポリシー定義の ID を取得するには、extensionResourceId() 関数を使用します。組み込みのポリシー定義は、テナントレベルのリソースです。組み込みポリシー定義の ID を取得するには、tenantResourceId() 関数を使用します。

次の例は、管理グループレベルでポリシーを定義して割り当てる方法を示しています。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-08-01/managementGroupDeploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "targetMG": {
      "type": "string",
      "metadata": {
        "description": "Target Management Group"
      }
    },
    "allowedLocations": {
      "type": "array",
      "defaultValue": [
        "australiaeast",
        "australiasoutheast",
        "australiacentral"
      ],
      "metadata": {
        "description": "An array of the allowed locations, all other locations will be denied by the created policy."
      }
    }
  },
  "variables": {
    "mgScope": "[tenantResourceId('Microsoft.Management/managementGroups', parameters('targetMG'))]",
    "policyDefinition": "LocationRestriction"
  },
  "resources": [
    {
      "type": "Microsoft.Authorization/policyDefinitions",
      "name": "[variables('policyDefinition')]",
      "apiVersion": "2020-09-01",
      "properties": {
        "policyType": "Custom",
        "mode": "All",
        "parameters": {
        },
        "policyRule": {
          "if": {
            "not": {
              "field": "location",
              "in": "[parameters('allowedLocations')]"
            }
          },
          "then": {
            "effect": "deny"
          }
        }
      }
    },
    {
      "type": "Microsoft.Authorization/policyAssignments",
      "name": "location-lock",
      "apiVersion": "2020-09-01",
      "dependsOn": [
        "[variables('policyDefinition')]"
      ],
      "properties": {
        "scope": "[variables('mgScope')]",
        "policyDefinitionId": "[extensionResourceId(variables('mgScope'), 'Microsoft.Authorization/policyDefinitions', variables('policyDefinition'))]"
      }
    }
  ]
}

サブスクリプションとリソースグループにデプロイする

管理グループレベルのデプロイから、管理グループ内のサブスクリプションを対象にすることができます。次の例では、サブスクリプション内にリソースグループを作成し、ストレージアカウントをそのリソースグループにデプロイします。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-08-01/managementGroupDeploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "nestedsubId": {
      "type": "string"
    },
    "nestedRG": {
      "type": "string"
    },
    "storageAccountName": {
      "type": "string"
    },
    "nestedLocation": {
      "type": "string"
    }
  },
  "resources": [
    {
      "type": "Microsoft.Resources/deployments",
      "apiVersion": "2021-04-01",
      "name": "nestedSub",
      "location": "[parameters('nestedLocation')]",
      "subscriptionId": "[parameters('nestedSubId')]",
      "properties": {
        "mode": "Incremental",
        "template": {
          "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
          "contentVersion": "1.0.0.0",
          "parameters": {
          },
          "variables": {
          },
          "resources": [
            {
              "type": "Microsoft.Resources/resourceGroups",
              "apiVersion": "2021-04-01",
              "name": "[parameters('nestedRG')]",
              "location": "[parameters('nestedLocation')]"
            }
          ]
        }
      }
    },
    {
      "type": "Microsoft.Resources/deployments",
      "apiVersion": "2021-04-01",
      "name": "nestedRG",
      "subscriptionId": "[parameters('nestedSubId')]",
      "resourceGroup": "[parameters('nestedRG')]",
      "dependsOn": [
        "nestedSub"
      ],
      "properties": {
        "mode": "Incremental",
        "template": {
          "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
          "contentVersion": "1.0.0.0",
          "resources": [
            {
              "type": "Microsoft.Storage/storageAccounts",
              "apiVersion": "2021-04-01",
              "name": "[parameters('storageAccountName')]",
              "location": "[parameters('nestedLocation')]",
              "kind": "StorageV2",
              "sku": {
                "name": "Standard_LRS"
              }
            }
          ]
        }
      }
    }
  ]
}

次のステップ

ロールの割り当ての詳細については、「Azure Resource Manager テンプレートを使用して Azure でのロールを割り当てる」を参照してください。
Microsoft Defender for Cloud のワークスペースの設定をデプロイする例については、deployASCwithWorkspaceSettings.json のページを参照してください。
サブスクリプションレベルとテナントレベルでテンプレートをデプロイすることもできます。