Azure 第26回『「Azure ロール」と「Entra ID ロール」って何が違うの？ー管理権限の基礎知識ー』

Azure 上でシステムを構築・運用する上で、システムを構成するサブスクリプションやリソースへのアクセス権限を適切に構成することが重要です。ユーザーへの過剰なアクセス権限は誤操作や不正行為などによるシステムの破損や情報の漏洩・流出の原因となりますし、逆に構築や運用のエンジニアに適切な権限が不足していると、作業の妨げとなり効率が悪くなります。
この記事では Azure のアクセス権限管理の考え方と、Azure のユーザーなどを管理する Entra ID でのアクセス権限管理の考え方について解説します。

Azure や Entra ID では、アクセス制御に「ロール」を利用します。
「ロール」（role）は日本語で言えば「役割」ですが、Azure や Entra ID のロールはアクセス許可のコレクションとして定義されます。
アクセス許可とは、どのような種類の対象（リソースの種類など）にどのような操作を許可するのかという設定で、読み取り・書き込み・削除などの操作が登録されています。このアクセス許可を関連性でグループ化して集めたもの（コレクション）が「ロール」となります。

例えば以下のスクリーンショットは、Azure の「仮想マシン共同作成者」ロールに含まれているアクセス許可の一覧（一部）です。

また以下のスクリーンショットは、Entra ID の「Cloud App Security 管理者」ロールに含まれているアクセス許可の一覧（一部）です。

このように特定の操作や機能の実現のために必要なアクセス許可をまとめたものが「ロール」です。

RBAC（Role-Based Access Control、ロールベースのアクセス制御）は、ロールの割り当てを利用したアクセス制御です。ロールの割り当ては、セキュリティプリンシパル、ロール、スコープの3つの要素で構成されています。

「セキュリティプリンシパル」とは、リソースへのアクセスを要求する主体のことで、具体的にはユーザー、グループ、サービスプリンシパル、マネージド ID が相当します。これらのセキュリティプリンシパルのいずれかに、ロールを割り当てることができます。

ロールは、前節で説明したように個別のアクセス許可をグループ化したコレクションです。
Azure にも Entra ID にも多数の組み込みロールが用意されており、すぐに使用することができます。また組み込みロールでは特定のニーズを満たさない場合は、カスタムロールを作成して利用することもできます。

「スコープ」はアクセス許可が適用される実際のリソースです。スコープを定義することで、ロールに定義されたアクセス許可が適用されるリソースを限定することができます。
Azure では、管理グループ・サブスクリプション・リソースグループ・リソースの４つのレベルでスコープを指定できます。これらのレベルでのスコープは親子関係にあるので、上位のレベルのスコープで割り当てられたロールのアクセス許可は、下位のレベルに継承されます。
例えばサブスクリプションレベルでスコープを指定した場合、スコープに含まれるサブスクリプション内のすべてのリソースがアクセス許可の対象となります。

Entra ID の場合、スコープはテナント・管理グループ・アプリの登録の３つのスコープを持ちます。

「ロールの割り当て」は、アクセスの許可を目的として、特定のスコープで、特定のセキュリティプリンシパルにロールを割り当てることです。スコープに含まれるリソースへのアクセスは、ロールの割り当てを作成することによって許可され、ロールの割り当てを削除することによって取り消されます。

ロールの割り当ては以下の図のように機能します。
この例では以下のようなロールの割り当てが行われています。

・ロールが割り当てられるセキュリティプリンシパル：Marketing グループ
・ロールの対象となるスコープ：pharma-sales リソースグループ
・割り当てるロール：共同作成者ロール（Azure の組み込みロールの一つ）

これにより、Marketing グループのユーザーは、pharma-sales リソースグループ内の任意の Azure リソースを作成または管理できます。ただしMarketing ユーザーは、別のロール割り当ての一部になっていない限り、pharma-sales リソースグループに含まれないリソースにはアクセスできません。

Azure ロールの割り当ては Azure ポータルで行えます。また Azure CLI または Azure PowerShell のコマンドから、Azure SDK または Azure REST API を利用したプログラムから、割り当てを行うこともできます。
Entra ID ロールの割り当ては Microsoft Entra 管理センターで行えます。またMicrosoft Graph PowerShell のコマンドから、Microsoft Graph API を利用したプログラムから、割り当てを行うこともできます。

ロールの機能や役割について詳しくは、以下のページを参照してください。

RBAC（ロールベースのアクセス制御）を利用する場合、以下のような注意点があります。

Azure ロールには他のユーザーの権限を管理する、すべてのリソースに対して権限を持つなどの強い権限を持つ「特権管理者ロール」が存在しています。特権管理者ロールを利用すると個別のアクセス許可を構成しなくてもリソースの作成・操作・削除が行えるので便利な反面、誤操作や不正行為などによるシステムの破損や情報の漏洩・流出の原因となる危険性があり、安易な利用は避けるべきです。
Azure での作業に当たっては、作業するユーザーに作業に必要な最小限のロールを与えることが推奨されています。これにより不要な事故やセキュリティインシデントの発生を防止することができます。その上で、必要に応じてロールの割り当てが迅速に行えるよう最小限のユーザーに対して特権の移譲を行い、効率の低下を防ぐようにします。

グループに対するロールの割り当ては、グループに対して推移的に機能します。つまりグループが入れ子になっている場合、親グループへ割り当てられたロールは、子グループにも自動的に割り当てられます。
以下の図では、UserはDesign クループのメンバーであり、Design クループは Marketing グループのメンバーとなっています。そのため Marketing グループに割り当てられたロールは Design クループにも適用され、User はロールに含まれるアクセス許可が与えられます。

あるセキュリティプリンシパルに複数のロールが割り当てられている場合、アクセス許可は各ロールの加算方式で決められます。つまり割り当てられたすべてのロールに含まれるすべてのアクセス許可が与えられます。
そのため、テナント内のアクセス許可の割り当てを設計する際は、上記の推移的な動作と併せて、無駄な割り当てが発生しないよう、また意図しないアクセス許可が与えられることが無いよう、注意して行う必要があります。

Microsoft Entra ID からユーザー、グループ、サービスプリンシパル、マネージド ID などのセキュリティプリンシパルを削除しても、削除対象のセキュリティプリンシパルに割り当てられていたロールの割り当ては自動的には削除されません。削除されたセキュリティプリンシパルの ID を参照するすべてのロールの割り当てが無効になるだけです。
無効になっているロールの割り当ての名前を別のロールの割り当てに再利用しようとすると、デプロイは失敗します。そのため、セキュリティプリンシパルを削除する場合は、その前に削除したいセキュリティプリンシパルを対象とするロール割り当てをすべて削除することが推奨されています。

Azure では、ライセンスやサブスクリプションの形態に関わらず、すべての RBAC の機能が利用できます。
Entra ID では、カスタムロールの作成と、Entra ロールのグループへの割り当てに Entra ID Premium ライセンスが必要となります。

Entra ID Premium ライセンスは、Microsoft 365 Business Premium・Microsoft 365 E3/E5 に含まれている他、単独のライセンスとして購入できます。

同じように RBAC で割り当てられる Azure のロールと Entra ID のロールですが、その目的は異なります。

・Azure ロール：仮想マシンや仮想ネットワーク、PaaS のアプリケーションなどの Azure リソースの管理を目的としています。
・Entra ID ロール：組織アカウント（Entra ID アカウント）のユーザーやグループ、サービスプリンシパルなどの Entra ID リソースの管理を目的としています。

これを含めて、Azure ロールと Entra ID ロールの違いを表にまとめると以下のようになります。

Azure ロールで、他のユーザーの権限を管理する、すべてのリソースに対して権限を持つなどの強い権限を持つ「特権管理者ロール」は以下の5つです。

またすべてのリソースの表示が可能なロールもあります。

これ以外に多数の「職務ロール」と呼ばれるさまざまな作業ごとに必要なアクセス許可をコレクションしたロールが用意されています。すべての組み込みロールの内容については、以下を参照してください。

またロールの適切な割り当て方法については、以下を参照してください。

代表的な Entra ID ロールは以下のようなものです。

これ以外にも多数のロールが用意されています。すべての組み込みロールの内容については、以下を参照してください。

また Entra ID でのタスク別の最小特権については以下を参照してください。

ポータルでロールを割り当てる操作は以下の通りです。

Azure を利用する上で Azure リソースへのアクセス権を適切に管理することは、誤操作などでの不慮の事故防止、セキュリティインシデントの発生防止などセキュリティとコンプライアンスのために非常に重要です。
また Azure リソースにアクセスするユーザーを管理する Entra ID でも、ユーザーやグループなどオブジェクトへのアクセス権限の管理は重要です。
こうしたアクセス権を管理する仕組みが RBAC（役割ベースのアクセス管理）です。RBAC の機能や役割を正しく理解して、適切なアクセス権管理を行ってください。
なお Entra ID の RBAC では一部の機能で Entra ID Premium ライセンスが必要となります。
Azure サブスクリプションの契約、Entra ID Premium ライセンスを含む Microsoft 365 Business Premium・Microsoft 365 E3/E5 の契約や既存のサブスクリプションからのアップグレードにつきましては、お気軽に当社担当営業までご相談ください。