Azure Subscriptionの管理手順@エンプラのバックアップ(No.10) - マイクロソフト系技術情報 Wiki

[ トップ ] [ 新規 | 一覧 | 単語検索 | 最終更新 | ヘルプ ]

「マイクロソフト系技術情報 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。

戻る

目次 †

目次
概要
初期状態
ベースの作成
ユーザの追加
- 新しいユーザを招待
- 新しいゲストユーザを招待
リソースへの権限付与
- 方法
  - スコープ
  - ロール
- カスタム・ロール
  - 管理者
  - 作業者
その他のネットワーク設定
- ネットワーク間の接続を構成する。
  - 仮想ネットワークピアリング
  - VPN Gatewayの構成
AADへの権限付与
参考

概要 †

手順のメモ

初期状態 †

キッティングしてもらった初期状態

Azureサブスクリプション（EA）名の設定
Azure ADの作成、既定のディレクトリ名、ドメイン名の割当
Azureサブスクリプション管理者ロールへのMicrosoftアカウント割当

ベースの作成 †

リソース・グループ †

リソース・グループを作成する。

仮想ネットワーク †

リソース・グループに仮想ネットワークを作成する。

サブネット †

仮想ネットワークにサブネットを作成する。

仮想マシン †

リソース・グループに仮想マシンを作成する。

配置する仮想ネットワーク.サブネットを選択する。
関連するリソースも作成される。
- NIC、パブリックIPアドレス
- ディスク、ストレージ・アカウント

パブリックIPアドレス †

インバウンドを開ける場合、必要に応じて、パブリックIPアドレスを固定する。

NSG †

アウトバウンド †

基本的に開放するが、必要に応じて絞る。

インバウンド †

サブネット向けにNSGを新規作成（既定値）。
使用するVMに絞ったRDP/SSHのインバウンドを許可。
作成したNSGをサブネットを関連付ける。
VMのNICに関連付けられたNSGをすべて削除する。

ユーザの追加 †

新しいユーザを招待 †

新しいゲストユーザを招待 †

「Azure Active Directory B2B collaboration」でマイクロソフト・アカウントのユーザを招待

リソースへの権限付与 †

方法 †

スコープ †

スコープを選択

サブスクリプション
リソース・グループ
リソース

ロール †

上記のスコープを選択して、
アクセス制御（IAM）を選択し、
追加ボタンを押下
- 役割（ロール）を選択
- 必要に応じて役割（ロール）にユーザを追加

カスタム・ロール †

カスタム・ロールを作成して権限を付与する。

管理者 †

作業者 †

「DevTest? Labs User」組込ロールを更に絞った、
「仮想マシンの起動と停止」カスタム・ロールを作成。

Azure Cloud Shellなどを使用して以下を実行。

SubsctionId? を確認
```
Get-AzureRmSubscription
```

カスタム・ロールを作成

$role = Get-AzureRmRoleDefinition "Virtual Machine Contributor"

$role.Id = $Null
$role.Name = "仮想マシンの起動と停止"
$role.Description = "仮想マシンの起動と停止、再起動ができます"

$role.Actions.Clear()
$role.Actions.Add("Microsoft.Compute/VirtualMachines/start/action")
$role.Actions.Add("Microsoft.Compute/VirtualMachines/restart/action")
$role.Actions.Add("Microsoft.Compute/VirtualMachines/read")
$role.Actions.Add("Microsoft.Compute/virtualMachines//read")
$role.Actions.Add("Microsoft.Compute/VirtualMachines/deallocate/action")

$role.AssignableScopes.Clear()
$role.AssignableScopes.Add("/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx") <--- Get-AzureRmSubscription で取得した SubsctionId を指定。

New-AzureRmRoleDefinition -Role $role

参考
- Azure リソースの RBAC でカスタムロールを作成する – Junichi Anno's blog
  https://blogs.technet.microsoft.com/junichia/2016/12/13/azure-%E3%83%AA%E3%82%BD%E3%83%BC%E3%82%B9%E3%81%AE-rbac-%E3%81%A7%E3%82%AB%E3%82%B9%E3%82%BF%E3%83%A0%E3%83%AD%E3%83%BC%E3%83%AB%E3%82%92%E4%BD%9C%E6%88%90%E3%81%99%E3%82%8B/

その他のネットワーク設定 †

ネットワーク間の接続を構成する。 †

仮想ネットワークピアリング †

VPN Gatewayの構成 †

AADへの権限付与 †

AADの管理画面でディレクトリ・ロールを選択する。

ユーザー †

全体管理者 †

制限付き管理者 †

参考 †

シェル †

Azure PowerShell †

Azure Cloud Shell †

Azure Resource Manager †

Role Based Access Control (RBAC) †

Network Security Group (NSG) †

Azure Active Directory B2B collaboration †

Tags: :インフラストラクチャ, :クラウド, :Azure