Azure Arc 対応サーバーの ID 管理とアクセス管理

[アーティクル]
10/10/2023

オンプレミスおよびクラウドベースの ID 管理システムを使用してハイブリッド環境をセキュリティで保護するために、組織では適切なアクセス制御を設計する必要があります。

これらの ID 管理システムが重要な役割を果たします。 Azure Arc 対応サーバーのインフラストラクチャをセキュリティで保護するために信頼性の高いアクセス管理制御の設計と実装に役立ちます。

マネージド ID

作成時、Microsoft Entra ID システム割り当て ID は、Azure Arc 対応サーバーの状態 (たとえば、ハートビートの "最終表示日") を更新するためにのみ使用できます。この ID に Azure リソースへのアクセスを許可することで、サーバー上のアプリケーションがそれを使用して Azure リソースへのアクセスを有効にすることができるようになります (たとえば、Key Vault（キー・コンテナー）からシークレットを要求するためなど)。次の手順に従います。

サーバーアプリケーションでアクセストークンを取得し、Azure リソースにアクセスすると同時に、これらのリソースのアクセス制御も計画する、正当なユースケースを検討します。
Azure Arc 対応サーバーの特権ユーザーロール (Windows のローカル管理者またはハイブリッドエージェント拡張アプリケーショングループのメンバーと Linux 上の himds グループのメンバー) を制御して、システムマネージド ID が誤用されて Azure リソースに不正アクセスされないようにします。
Azure RBAC を使用して、Azure Arc 対応サーバーマネージド ID のアクセス許可を制御および管理し、これらの ID に対する定期的なアクセスレビューを実行します。

ロールベースのアクセス制御 (RBAC)

最小原則に従って"共同作成者"、"所有者"、"Azure Connected Machine リソース管理者" などのロールが割り当てられたユーザー、グループ、アプリケーションは、Azure Arc 対応サーバーでの展開拡張やルートもしくは管理者アクセス許可の効果的な委任などの操作を実行できるようにします。これらのロールは、起こりうる影響範囲を制限したり、最終的にカスタムロールに置き換えたりするには、注意して使用する必要があります。

ユーザーの特権を制限し、Azure へのサーバーのオンボードのみを許可するには、Azure Connected Machine のオンボードロールが適しています。このロールはサーバーのオンボードにのみ使用でき、サーバーリソースを再オンボードまたは削除することはできません。アクセス制御の詳細については、「Azure Arc 対応サーバーのセキュリティの概要」を必ず確認してください。

また、Azure Monitor Log Analytics ワークスペースに送信される機密データについても検討してください -- データ自体に同じ RBAC 原則が適用されます。 Azure Arc 対応サーバーは、Log Analytics エージェントによって収集され、関連付けられた Log Analytics ワークスペースに格納されたログデータへのアクセスを付与することができます。きめ細かい Log Analytics ワークスペースアクセスを実行する方法については、Azure Monitor ログのデプロイの設計に関するページを参照してください。

アーキテクチャ

次の図は、Azure Arc 対応サーバーのロール、アクセス許可、アクションフローを示す参照アーキテクチャを示しています。

設計上の考慮事項

サーバーと Azure で必要なアクセス許可を設定するために、オンボードサーバーにアクセスできる組織内のユーザーを決定します。
Azure Arc 対応サーバーを管理するユーザーを決定します。次に、Azure サービスやその他のクラウド環境からデータを表示できるユーザーを決定します。
必要な ARC オンボードサービスプリンシパルの数が決定されます。これらの ID の複数が、運用上の責任と所有権に基づく、企業内のさまざまなビジネス機能またはユニットによって所有されているサーバーのオンボードに使用されます。
エンタープライズ規模の Azure ランディングゾーンの ID 管理とアクセス管理の設計領域を確認します。この領域を検討して、Azure Arc 対応サーバーが全体的な ID とアクセスのモデルに与える影響を評価します。

設計の推奨事項

サーバーのオンボードと管理
- セキュリティグループを使用して、Azure Arc に大規模にオンボードするために、サーバー上の特定されたユーザーまたはサービスアカウントにローカル管理者権限を割り当てます。
- Microsoft Entra サービスプリンシパルを使って、サーバーを Azure Arc にオンボードします。サーバーが複数の IT チームによって管理されている分散運用モデルの場合は、複数の Microsoft Entra サービスプリンシパルを使うことを検討してください。
- 有効期間が短い Microsoft Entra サービスプリンシパルのクライアントシークレットを使います。
- リソースグループレベルで Azure Connected Machine のオンボードロールを割り当てます。
- Microsoft Entra セキュリティグループを使い、ハイブリッドサーバーリソース管理者ロールを付与します。 Azure で Azure Arc 対応サーバーリソースを管理するチームと個人にこのロールを付与します。
Microsoft Entra ID で保護されたリソースのアクセス
- オンプレミスサーバー (およびその他のクラウド環境) 上で実行されているアプリケーションに対してマネージド ID を使って、Microsoft Entra ID によって保護されているクラウドリソースにアクセスできるようにします。
- マネージド ID へのアクセスを制限して、Microsoft Entra アプリケーションのアクセス許可を使って認可されたアプリケーションを許可します。
- Windows の Hybrid agent extension applications ローカルセキュリティグループまたは Linux の himds グループを使用して、Azure Arc 対応サーバーから Azure リソースアクセストークンを要求するアクセス権をユーザーに付与します。

次の手順

ハイブリッドクラウドの導入に関する詳細なガイダンスについては、次のリソースを参照してください。

Azure Arc Jumpstart のシナリオを検討します。
Azure Arc 対応サーバーの前提条件を検討します。
Azure Arc 対応サーバーの大規模デプロイを計画します。
Azure Arc ラーニングパスを使用して Azure Arc の詳細を確認します。