-
Notifications
You must be signed in to change notification settings - Fork 0
MS_AzureAccessControl
nishi_74322014 edited this page Aug 4, 2026
·
1 revision
- 戻る（Azure（
MS_Azure.md）、Microsoft Azure Active Directory）- Azureのアクセス制御と権限
- Role Based Access Control (RBAC)
- Azure Active Directory 条件付きアクセス
Azure のアクセス制御（の機構）と権限（ロールと管理者）についてまとめる。
| 機構 | 内容 |
|---|---|
Network Security Group (NSG)（MS_NetworkSecurityGroup.md） |
ネットワーク レベルの制御 |
| Role Based Access Control (RBAC) | リソースへの操作権限 |
Azure Policy（MS_AzurePolicy.md） |
RBAC と異なる Azure の GPO 的な仕組み |
| Azure Active Directory 条件付きアクセス | サインイン時の条件評価 |
| Azure Active Directory Identity Protection | リスク検出と自動対処 |
Azure AD Privileged Identity Management (PIM)（MS_AzureADPIM.md） |
特権の期限付き付与 |
補足: RBAC と Azure Policy は目的が異なるので、混同しないこと。
- RBAC — 「誰が何をできるか」（主体に対する権限）
- Azure Policy — 「どんなリソースが作れるか」（リソースに対する制約）
例えば「VM を作れるが、指定リージョン・指定サイズに限る」は、 RBAC で作成権限を与え、Policy でサイズとリージョンを縛る、 という組み合わせで実現する。
| 種別 | 内容 |
|---|---|
| Azure Active Directory 管理者 | ディレクトリ（テナント）に対する権限 |
| RBAC アクセス権限 | Azure リソースに対する権限 |
| サブスクリプション管理者 | 課金・契約に関する権限 |
補足: RBAC の補足で述べたとおり、 Azure ロールと Entra ロールは別系統である。 ここでの「Azure AD 管理者」が後者、 「RBAC アクセス権限」が前者にあたる。
Just-in-Time（JIT）— 必要なときに、必要な期間だけ特権を付与する。
| 区分 | ロール | Azure AD 管理者ロール | RBAC ロール | 運用 |
|---|---|---|---|---|
| 特権管理者 | － | Global Administrator（全体管理者） | Owner（所有者） | 非常事態用 ID のみに割り当て |
| 管理者・責任者 | 読み取りロール | （特にロールを必要としない） | Reader（閲覧者） | 各管理者に静的割当 |
| 管理者・責任者 | ロール変更ロール（★ 重要） | Privileged Role Administrator（特権ロール管理者） | User Access Administrator（ユーザアクセス管理者） | 各管理者に静的割当 |
| 管理者・責任者 | 責任者ロール | Guest Inviter（ゲストユーザの招待）／User Account Administrator（ユーザの追加・削除） | － | 作業責任者の場合に静的 or JIT 割当 |
| 作業者 | 読み取りロール | （特にロールを必要としない） | Reader（閲覧者） | 各作業者に静的割当 |
| 作業者 | 作業者ロール | （各種の管理者ロール） | Contributor / XX Contributor（共同作業者） | 各作業者に JIT 割当 |
※ JIT 割り当ての対象となるのは Contributor（変更）権限を持っているロール。
- 共同作業者（Contributor）
- リソース固有ロール（XX Contributor）
補足: この設計の要点は次の 2 点である。
- 読み取りは常時、変更は都度
「見えないと調査もできない」ので Reader は静的に与え、 変更権限だけを JIT にする。これで日常の利便性を落とさずに 誤操作・侵害時の被害範囲を絞れる。- 全体管理者は緊急用アカウントだけに固定
日常業務で全体管理者を使わない。 ただし 条件付きアクセス の補足のとおり、 緊急用アカウントは条件付きアクセスから除外しておくこと （締め出し対策）。JIT の実体は Microsoft Entra PIM で、 「対象（eligible）」として割り当てておき、 利用時にアクティブ化（承認・MFA・理由の入力を要求できる）する。 RBAC の補足で触れた 「ロール変更がトークンの有効期限まで反映されない」点は、 アクティブ化・非アクティブ化の双方で効いてくる。
- Role Based Access Control (RBAC)
- Azure Active Directory 条件付きアクセス
- Azure Active Directory Identity Protection
- Microsoft Azure Active Directory
- Azure サービス プリンシパル
- Azure Managed ID
- Microsoft Entra Privileged Identity Management - Microsoft Learn
Tags: セキュリティ, アカウント, クラウド, 認証基盤, Azure
このWikiは「Open棟梁Project」,「OSSコンソーシアム 開発基盤部会」によって運営されています。