AzureのRBACとAzure Policyで権限を設計する方法｜ロール割り当てとガバナンスの実践

この記事のポイント

・RBACは「誰が何をできるか」、Azure Policyは「どんなリソースを作れるか」を制御する
・az role assignment create でロール割り当てをCLIから即時実施できる
・カスタムロールはJSON定義で細粒度の権限セットを作成できる
・RBACとPolicyを組み合わせることでゼロトラスト型のガバナンスを実現できる

# リソースグループ「rg-prod」の割り当て一覧を表示
az role assignment list \
  --resource-group rg-prod \
  --output table

# 出力例
# Principal             Role                  Scope
# --------------------  --------------------  ----------------------------------------
# alice@example.com     Contributor           /subscriptions/xxxx/resourceGroups/rg-prod
# sp-appservice         Storage Blob Data...  /subscriptions/xxxx/resourceGroups/rg-prod

# ユーザー「bob@example.com」にリソースグループ「rg-dev」の
# 「仮想マシン共同作成者」を割り当てる
az role assignment create \
  --assignee "bob@example.com" \
  --role "Virtual Machine Contributor" \
  --resource-group rg-dev

# サービスプリンシパル（オブジェクトID）に割り当てる場合
# --assignee-principal-type を明示するとユーザーとの混在を防げる
az role assignment create \
  --assignee-object-id "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" \
  --assignee-principal-type ServicePrincipal \
  --role "Storage Blob Data Contributor" \
  --resource-group rg-dev

# ロール割り当てを削除
# assignee・ロール名・スコープの3つを正確に指定する必要がある
az role assignment delete \
  --assignee "bob@example.com" \
  --role "Virtual Machine Contributor" \
  --resource-group rg-dev

# 削除後に残存していないか確認
az role assignment list \
  --assignee "bob@example.com" \
  --output table

# custom-role-vm-start-stop.json
{
  "Name": "VM Start Stop Operator",
  "IsCustom": true,
  "Description": "VMの起動・停止・再起動のみを許可するカスタムロール",
  "Actions": [
    "Microsoft.Compute/virtualMachines/start/action",
    "Microsoft.Compute/virtualMachines/deallocate/action",
    "Microsoft.Compute/virtualMachines/restart/action",
    "Microsoft.Compute/virtualMachines/read"
  ],
  "NotActions": [],
  "DataActions": [],
  "NotDataActions": [],
  "AssignableScopes": [
    "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
  ]
}

# カスタムロールを作成
az role definition create \
  --role-definition custom-role-vm-start-stop.json

# 定義JSONを修正した後、既存のカスタムロールを更新
az role definition update \
  --role-definition custom-role-vm-start-stop.json

# 利用可能なアクション名をリソースプロバイダーごとに調べる
az provider operation show \
  --namespace Microsoft.Compute \
  --output table | grep -i virtual

# タグ関連の組み込みポリシーを検索
az policy definition list \
  --query "[?contains(displayName, 'tag')].{Name:displayName, Id:name}" \
  --output table | head -20

# 出力例（抜粋）
# Name                                               Id
# -------------------------------------------------  ------------------------------------
# Require a tag and its value on resources           1e30110a-5ceb-460c-a204-c1c3969c6d62
# Add a tag to resources                             4f9dc7db-30c1-420c-b61a-e1d640128d26

# policy-require-env-tag.json
{
  "mode": "Indexed",
  "displayName": "Require Environment tag on resource groups",
  "description": "リソースグループにEnvironmentタグを必須化するポリシー",
  "policyRule": {
    "if": {
      "allOf": [
        {
          "field": "type",
          "equals": "Microsoft.Resources/resourceGroups"
        },
        {
          "field": "tags['Environment']",
          "exists": "false"
        }
      ]
    },
    "then": {
      "effect": "Deny"
    }
  }
}

# ポリシー定義を作成
az policy definition create \
  --name "require-environment-tag" \
  --display-name "Require Environment tag on resource groups" \
  --description "Environmentタグが必須" \
  --rules policy-require-env-tag.json \
  --mode Indexed

# サブスクリプションIDを変数に取得
SUBSCRIPTION_ID=$(az account show --query id -o tsv)

# サブスクリプションにポリシーを割り当てる
az policy assignment create \
  --name "enforce-env-tag" \
  --display-name "Environmentタグ必須化" \
  --policy "require-environment-tag" \
  --scope "/subscriptions/${SUBSCRIPTION_ID}"

# 割り当て一覧を確認
az policy assignment list \
  --scope "/subscriptions/${SUBSCRIPTION_ID}" \
  --output table