Role Based Access Control (RBAC) のバックアップ(No.16)

４つのプラットフォームロール
- 所有者（Owner）
  アクセス権の割当を含め、全てを管理できる。
- 共同作業者（Contributor）
  アクセス権の割当以外の、全てを管理できる。
- 閲覧者（Reader）
  すべてを閲覧できるが、変更はできない。
- ユーザアクセス管理者
  （User Access Administrator）
  Azure リソースへのユーザアクセスを管理できる。

リソース固有ロール

仮想マシンの共同作業者
（Virtual Machine Contributor）
- 仮想マシンを管理できるが、
- 仮想マシンのアクセス許可は設定できない。
- 接続先の仮想ネットワークまたはストレージ・アカウントの管理はできない。

ネットワークの共同作業者
- すべてのネットワークリソースを管理できるが、
- ネットワークリソースのアクセス許可は設定できない。

ストレージ・アカウントの共同作業者
- ストレージ・アカウントを管理できるが、
- ストレージ・アカウントのアクセス許可は設定できない。

SQL Server の共同作業者
（SQL Server Contributor）
- SQL サーバーおよびデータベースを管理できるが、
- そのセキュリティ関連ポリシーは設定できない。

Web サイトの共同作業者
（Web Site Contributor）
- Web サイトを管理できるが、
- 接続されている Web プランは設定できない。

, etc.

↑

カスタムロール †

組み込みのロールの中にアクセス権に関する特定の要件を満たすものがない場合、
Azure のロールベースのアクセス制御 (RBAC) でカスタムロールを作成する。

↑

参考 †

Microsoft Azure サポートチームサイト
- Microsoft Azure の各種アカウント権限について
  https://blogs.msdn.microsoft.com/dsazurejp/2013/10/02/303/
- アカウント管理者・サービス管理者・共同管理者の変更方法について
  https://blogs.msdn.microsoft.com/dsazurejp/2013/10/02/293/

Microsoft Docs
- Azure 組み込みロール - Azure RBAC
  https://docs.microsoft.com/ja-jp/azure/role-based-access-control/built-in-roles
- Azure サブスクリプション管理者を追加または変更する
  https://docs.microsoft.com/ja-jp/azure/cost-management-billing/manage/add-change-subscription-administrator#types-of-azure-admin-accounts

↑

設定例 †

↑

組み込みロール †

↑

管理者権限を付与する。 †

プラットフォームロールを使用する。

リソース固有ロールを使用する。

↑

作業者に権限を付与する。 †

プラットフォームロールを使用する。

リソース固有ロールを使用する。

↑

カスタム・ロール †

↑

管理者権限を付与する。 †

↑

作業者に権限を付与する。 †

「DevTest? Labs User」組込ロールを更に絞った、
「仮想マシンの起動と停止」カスタム・ロールを作成。

Azure Cloud Shellなどを使用して以下を実行。

SubsctionId? を確認
```
Get-AzureRmSubscription
```

カスタム・ロールを作成

$role = Get-AzureRmRoleDefinition "Virtual Machine Contributor"

$role.Id = $Null
$role.Name = "仮想マシンの起動と停止"
$role.Description = "仮想マシンの起動と停止、再起動ができます"

$role.Actions.Clear()
$role.Actions.Add("Microsoft.Compute/VirtualMachines/start/action")
$role.Actions.Add("Microsoft.Compute/VirtualMachines/restart/action")
$role.Actions.Add("Microsoft.Compute/VirtualMachines/read")
$role.Actions.Add("Microsoft.Compute/virtualMachines//read")
$role.Actions.Add("Microsoft.Compute/VirtualMachines/deallocate/action")

$role.AssignableScopes.Clear()
$role.AssignableScopes.Add("/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx") <--- Get-AzureRmSubscription で取得した SubsctionId を指定。

New-AzureRmRoleDefinition -Role $role

↑

参考 †

Azure でのリソースアクセスについて
https://docs.microsoft.com/ja-jp/azure/active-directory/active-directory-understanding-resource-access

↑

アクセス権（ロール）の割当 †

ロールベースのアクセス制御のカスタムロールを作成して Azure の内部および外部ユーザーに割り当てる
https://docs.microsoft.com/ja-jp/azure/active-directory/role-based-access-control-create-custom-roles-for-internal-external-users

Azure リソースの RBAC でカスタムロールを作成する – Junichi Anno's blog
https://blogs.technet.microsoft.com/junichia/2016/12/13/azure-%E3%83%AA%E3%82%BD%E3%83%BC%E3%82%B9%E3%81%AE-rbac-%E3%81%A7%E3%82%AB%E3%82%B9%E3%82%BF%E3%83%A0%E3%83%AD%E3%83%BC%E3%83%AB%E3%82%92%E4%BD%9C%E6%88%90%E3%81%99%E3%82%8B/

Tags: :インフラストラクチャ, :クラウド, :Azure, :セキュリティ

目次 †

概要 †

アクセス権の割当 †

割当 †

関連 †

継承 †

スコープ †

指定できるスコープ †

アクセス権の継承 †

ロール †

ロールの定義 †

ロール定義 †

ロール割り当て †

ロールの種類 †

組み込みロール †

カスタム ロール †

参考 †

設定例 †

組み込みロール †

管理者権限を付与する。 †

作業者に権限を付与する。 †

カスタム・ロール †

管理者権限を付与する。 †

作業者に権限を付与する。 †

参考 †

RBAC を使用したアクセスとアクセス許可 †

ロールの定義 †

ロールの種類 †

アクセス権（ロール）の割当 †

カスタムロール †