Azure サブスクリプションを別の Microsoft Entra ディレクトリに移転する

組織には複数の Azure サブスクリプションがある場合があります。 各サブスクリプションは特定の Microsoft Entra ディレクトリと関連付けられています。 管理を容易にするために、サブスクリプションを別の Microsoft Entra ディレクトリに移転することが必要になる場合があります。 サブスクリプションを別の Microsoft Entra ディレクトリに移転する場合、一部のリソースはターゲット ディレクトリに移転されません。 たとえば、Azure のロールベースのアクセス制御 (Azure RBAC) でのすべてのロールの割り当てとカスタム ロールは、ソース ディレクトリからは完全に削除され、ターゲット ディレクトリには移転されません。

この記事では、サブスクリプションを別の Microsoft Entra ディレクトリに移転し、移転後にいくつかのリソースを再作成するために実行できる基本的な手順について説明します。

代わりに、ご自身の組織内のさまざまなディレクトリに対するサブスクリプションの転送をブロックする必要がある場合は、サブスクリプション ポリシーを構成できます。 詳細については、「Azure サブスクリプションのポリシーを管理する」を参照してください。

概要

別の Microsoft Entra ディレクトリへの Azure サブスクリプションの移転は、慎重に計画して実行する必要がある複雑なプロセスです。 多くの Azure サービスでは、セキュリティ プリンシパル (ID) が通常どおりに動作するか、他の Azure リソースを管理する必要があります。 この記事では、セキュリティ プリンシパルに大きく依存する Azure サービスのほとんどについて説明しますが、これは包括的なものではありません。

次の図では、サブスクリプションを別のディレクトリに移転するときに従う必要がある基本的な手順を示します。

1. 移転を準備する

2. Azure サブスクリプションを別のディレクトリに移転する

3. ロールの割り当て、カスタム ロール、マネージド ID などのリソースをターゲット ディレクトリで再作成する

   

サブスクリプションを別のディレクトリに移転するかどうかを決定する

サブスクリプションを移転する理由には、次のようなものがあります。

• 会社の合併や買収のため、取得したサブスクリプションをプライマリ Microsoft Entra ディレクトリで管理する必要があります。
• 組織内のだれかが作成したサブスクリプションの管理を、特定の Microsoft Entra ディレクトリに統合する必要があります。
• 特定のサブスクリプション ID または URL に依存するアプリケーションがあり、アプリケーションの構成やコードを簡単に変更することができません。
• ビジネスの一部が別の会社に分割され、一部のリソースを別の Microsoft Entra ディレクトリに移動する必要があります。
• セキュリティを分離するため、リソースの一部を別の Microsoft Entra ディレクトリで管理する必要があります。

別のアプローチ

サブスクリプションを移転するには、プロセスを完了するためにダウンタイムが必要です。 シナリオによっては、次の代替方法を検討できます。

• リソースを再作成し、ターゲット ディレクトリおよびサブスクリプションにデータをコピーする。
• マルチディレクトリ アーキテクチャを採用し、サブスクリプションをソース ディレクトリに残す。 ターゲット ディレクトリのユーザーがソース ディレクトリ内のサブスクリプションにアクセスできるように、Azure Lighthouse を使用してリソースを委任します。 詳しくは、「エンタープライズ シナリオにおける Azure Lighthouse」をご覧ください。

サブスクリプションの移転による影響を把握する

いくつかの Azure リソースは、サブスクリプションまたはディレクトリに依存しています。 次の表では、状況に応じたサブスクリプションの移転による既知の影響を示します。 この記事の手順を実行することで、サブスクリプションの移転前に存在していたリソースの一部を再作成できます。

サブスクリプションを譲渡するとき、影響を受ける一部の Azure リソースの一覧を取得するには、Azure Resource Graph でクエリを実行することもできます。 サンプル クエリについては、Azure サブスクリプションの譲渡時に影響を受けるリソースの一覧に関するページを参照してください。

前提条件

これらの手順を完了するには、以下が必要です。

• Azure Cloud Shell の Bash または Azure CLI
• ソース ディレクトリ内で移動させるサブスクリプションの課金アカウント オーナー
• ディレクトリを変更するユーザーのソース ディレクトリおよびターゲット ディレクトリ内のユーザー アカウント

手順 1: 移転を準備する

ソース ディレクトリにサインインする

1. 管理者として Azure にサインインします。

2. az account list コマンドを使用して、サブスクリプションの一覧を取得します。

   az account list --output table
   

3. az account set を使用して、移転するアクティブなサブスクリプションを設定します。

   az account set --subscription "Marketing"
   

Azure Resource Graph 拡張機能をインストールする

Azure Resource Graph の Azure CLI 拡張機能である resource-graph を使用すると、az graph コマンドを使用して、Azure Resource Manager によって管理されているリソースを照会できます。 このコマンドは、後の手順で使用します。

1. az extension list を使用して、resource-graph 拡張機能がインストールされているかどうかを確認します。

   az extension list
   

2. プレビュー バージョンまたは古いバージョンの resource-graph 拡張機能を使用している場合は、az extension update を使用してこの拡張機能を更新します。

   az extension update --name resource-graph
   

3. resource-graph 拡張機能がインストールされていない場合は、az extension add を使用してこの拡張機能をインストールします。

   az extension add --name resource-graph
   

すべてのロールの割り当てを保存する

1. az role assignment list を使用して、すべてのロールの割り当ての一覧を表示します (継承されたロールの割り当てを含む)。

   一覧を簡単に確認できるように、出力を JSON、TSV、またはテーブルとしてエクスポートできます。 詳細については、「Azure RBAC と Azure CLI を使用してロールの割り当てを一覧表示する」を参照してください。

   az role assignment list --all --include-inherited --output json > roleassignments.json
   az role assignment list --all --include-inherited --output tsv > roleassignments.tsv
   az role assignment list --all --include-inherited --output table > roleassignments.txt
   

2. ロールの割り当ての一覧を保存します。

   サブスクリプションを移転すると、すべてのロールの割り当てが完全に削除されます。そのため、コピーを保存しておくことが重要です。

3. ロールの割り当ての一覧を確認します。 ターゲット ディレクトリに必要のないロールの割り当てが存在する可能性があります。

カスタムロールを保存する

1. カスタム ロールの一覧を表示するには、az role definition list を使用します。 詳細については、「Azure CLIを使用して Azure カスタム ロールを作成または更新する」を参照してください。

   az role definition list --custom-role-only true --output json --query '[].{roleName:roleName, roleType:roleType}'
   

2. ターゲット ディレクトリに必要な各カスタム ロールを、別の JSON ファイルとして保存します。

   az role definition list --name <custom_role_name> > customrolename.json
   

3. カスタム ロール ファイルのコピーを作成します。

4. 次の形式を使用するように各コピーを変更します。

   後でこれらのファイルを使用して、ターゲット ディレクトリにカスタム ロールを再作成します。

   {
     "Name": "",
     "Description": "",
     "Actions": [],
     "NotActions": [],
     "DataActions": [],
     "NotDataActions": [],
     "AssignableScopes": []
   }
   

ユーザー、グループ、サービス プリンシパルのマッピングを決定する

1. ロールの割り当ての一覧に基づいて、ターゲット ディレクトリでマップするユーザー、グループ、サービス プリンシパルを決定します。

   各ロールの割り当ての principalType プロパティを参照することで、プリンシパルの種類を特定できます。

2. 必要に応じて、ターゲット ディレクトリに、必要なユーザー、グループ、またはサービス プリンシパルを作成します。

マネージド ID のロールの割り当ての一覧を表示する

サブスクリプションを別のディレクトリに移転したとき、マネージド ID は更新されません。 その結果、既存のシステム割り当てマネージド ID やユーザー割り当てマネージド ID は破損します。 移転後、システム割り当てマネージド ID を再び有効にすることができます。 ユーザー割り当てマネージド ID の場合は、ターゲット ディレクトリで再作成してアタッチする必要があります。

1. マネージド ID がサポートされている Azure サービスの一覧を確認して、マネージド ID を使用している可能性がある場所を記録します。

2. システム割り当てとユーザー割り当てのマネージド ID の一覧を表示するには、az ad sp list を使用します。

   az ad sp list --all --filter "servicePrincipalType eq 'ManagedIdentity'"
   

3. マネージド ID の一覧で、システム割り当てのものとユーザー割り当てのものを特定します。 次の条件を使用して、種類を特定できます。

   基準	マネージド ID の種類
   alternativeNames プロパティに isExplicit=False が含まれる	システム割り当て
   alternativeNames プロパティに isExplicit が含まれない	システム割り当て
   alternativeNames プロパティに isExplicit=True が含まれる	ユーザー割り当て

   また、az identity list コマンドを使用して、ユーザー割り当てマネージド ID だけの一覧を表示することもできます。 詳細については、「Azure CLI を使用してユーザー割り当てマネージド ID を作成、一覧表示、または削除する」を参照してください。

   az identity list
   

4. マネージド ID の objectId 値の一覧を取得します。

5. ロールの割り当ての一覧を検索して、マネージド ID に対するロールの割り当てがあるかどうかを確認します。

Key Vault のリスト

キー コンテナーを作成すると、それが作成されたサブスクリプションの既定の Microsoft Entra テナント ID に自動的に関連付けられます。 また、すべてのアクセス ポリシー エントリがこのテナント ID に関連付けられます。 詳細については、「Azure Key Vault を別のサブスクリプションに移動する」を参照してください。

• キー コンテナーがある場合は、az keyvault show を使用してアクセス ポリシーの一覧を表示します。 詳細については、キー コンテナーへのアクセス ポリシーの割り当てに関するページを参照してください。

  az keyvault show --name MyKeyVault
  

Azure SQL データベースと Microsoft Entra 認証を一覧表示する

• Microsoft Entra 認証の統合が有効になっている Azure SQL データベースを使用しているかどうかを確認するには、az sql server ad-admin list と az graph 拡張機能を使用します。 詳細については、SQL による Microsoft Entra 認証の構成と管理に関する説明を参照してください。

  az sql server ad-admin list --ids $(az graph query -q "resources | where type == 'microsoft.sql/servers' | project id" --query data[*].[id] -o tsv)
  

ACL の一覧を表示する

1. Azure Data Lake Storage Gen2 を使用している場合は、Azure portal または PowerShell を使用して、ファイルに適用されている ACL の一覧を表示します。

2. Azure Files を使用している場合は、ファイルに適用されている ACL の一覧を表示します。

他の既知のリソースの一覧を表示する

1. az account show を使用して、サブスクリプション IDを取得します (bash 内)。

   subscriptionId=$(az account show --output tsv --query id)
   

2. az graph 拡張機能を使用して、Microsoft Entra ディレクトリの既知の依存関係がある他の Azure リソースの一覧を表示します (bash 内)。

   az graph query -q 'resources 
       | where type != "microsoft.azureactivedirectory/b2cdirectories" 
       | where  identity <> "" or properties.tenantId <> "" or properties.encryptionSettingsCollection.enabled == true 
       | project name, type, kind, identity, tenantId, properties.tenantId' --subscriptions $subscriptionId --output yaml
   

手順 2: サブスクリプションを移転する

この手順では、サブスクリプションを、ソース ディレクトリからターゲット ディレクトリに移転します。 この手順は、課金所有権も移転するかどうかによって変わります。

1. 課金所有権も別のアカウントに移転するかどうかを決定します。

2. サブスクリプションを別のディレクトリに移転します。

   • 現在の課金所有権を維持する場合は、「Microsoft Entra テナントに、Azure サブスクリプションを関連付ける、または追加する」の手順に従ってください。
   • 課金所有権も移転する場合は、「Azure サブスクリプションの課金所有権を別のアカウントに譲渡する」の手順に従ってください。 サブスクリプションを別のディレクトリに移転するには、[サブスクリプション Microsoft Entra テナント] チェック ボックスをオンにする必要があります。

3. サブスクリプションの移転が完了したら、この記事に戻り、ターゲット ディレクトリにリソースを再作成します。

手順 3: リソースを再作成する

ターゲット ディレクトリにサインインする

1. ターゲット ディレクトリで、移転要求を受け入れたユーザーとしてサインインします。

   移転要求を受け入れた新しいアカウントのユーザーだけが、リソースにアクセスして管理できます。

2. az account list コマンドを使用して、サブスクリプションの一覧を取得します。

   az account list --output table
   

3. az account set を使用して、使用するアクティブなサブスクリプションを設定します。

   az account set --subscription "Contoso"
   

カスタム ロールを作成する

• az role definition create を使用して、前に作成したファイルから各カスタム ロールを作成します。 詳細については、「Azure CLIを使用して Azure カスタム ロールを作成または更新する」を参照してください。

  az role definition create --role-definition <role_definition>
  

ロールの割り当て

• az role assignment create を使用して、ユーザー、グループ、サービス プリンシパルにロールを割り当てます。 詳細については、「Azure CLI を使用して Azure ロールを割り当てる」を参照してください。

  az role assignment create --role <role_name_or_id> --assignee <assignee> --scope "/subscriptions/<subscriptionId>/resourceGroups/<resource_group>"
  

システム割り当てのマネージド ID を更新する

1. システム割り当てのマネージドID を無効にした後、再び有効にします。

   Azure サービス	詳細情報
   仮想マシン	Azure CLI を使用して Azure VM 上に Azure リソースのマネージド ID を構成する
   仮想マシン スケール セット	Azure CLI を使用して仮想マシン スケール セットで Azure リソースのマネージド ID を構成する
   その他のサービス	Azure リソースのマネージド ID をサポートするサービス

2. az role assignment create を使用して、システム割り当てマネージド ID にロールを割り当てます。 詳細については、「Azure CLI を使用して、リソースにマネージド ID アクセスを割り当てる」を参照してください。

   az role assignment create --assignee <objectid> --role '<role_name_or_id>' --scope "/subscriptions/<subscriptionId>/resourceGroups/<resource_group>"
   

ユーザー割り当てのマネージド ID を更新する

1. ユーザー割り当てのマネージド ID を削除し、再作成して、アタッチします。

   Azure サービス	詳細情報
   仮想マシン	Azure CLI を使用して Azure VM 上に Azure リソースのマネージド ID を構成する
   仮想マシン スケール セット	Azure CLI を使用して仮想マシン スケール セットで Azure リソースのマネージド ID を構成する
   その他のサービス	Azure リソースのマネージド ID をサポートするサービス Azure CLI を使用してユーザー割り当てマネージド ID を作成、一覧表示、または削除する

2. az role assignment create を使用して、ユーザー割り当てマネージド ID にロールを割り当てます。 詳細については、「Azure CLI を使用して、リソースにマネージド ID アクセスを割り当てる」を参照してください。

   az role assignment create --assignee <objectid> --role '<role_name_or_id>' --scope "/subscriptions/<subscriptionId>/resourceGroups/<resource_group>"
   

キー コンテナーを更新する

ここでは、キー コンテナーを更新する基本的な手順について説明します。 詳細については、「Azure Key Vault を別のサブスクリプションに移動する」を参照してください。

1. サブスクリプションで既存のすべてのキー コンテナーに関連付けられているテナント ID を、ターゲット ディレクトリに更新します。

2. すべての既存のアクセス ポリシー エントリを削除する。

3. ターゲット ディレクトリに関連付けられた新しいアクセス ポリシー エントリを追加します。

ACL を更新する

1. Azure Data Lake Storage Gen2 を使用している場合は、適切な ACL を割り当てます。 詳細については、Azure Data Lake Storage Gen2 でのアクセス制御に関するページを参照してください。

2. Azure Files を使用している場合は、適切な ACL を割り当てます。

他のセキュリティ メソッドを確認する

ロールの割り当ては移転の間に削除されますが、元の所有者アカウントのユーザーが、次のような他のセキュリティ メソッドを使用して、引き続きサブスクリプションにアクセスできる場合があります。

• Storage などのサービス用のアクセス キー。
• サブスクリプションのリソースに対する管理者アクセス権をユーザーに付与する管理証明書。
• Azure Virtual Machines などのサービス用のリモート アクセス資格情報。

ソース ディレクトリのユーザーがターゲット ディレクトリにアクセスできないように、アクセス権を削除する場合は、すべての資格情報のローテーションを検討する必要があります。 資格情報が更新されるまで、移転後もユーザーは引き続きアクセスできます。

1. ストレージ アカウントのアクセス キーをローテーションします。 詳細については、「ストレージ アカウントのアクセス キーの管理」を参照してください。

2. Azure SQL Database や Azure Service Bus メッセージングなどの他のサービスにアクセス キーを使用している場合は、アクセス キーをローテーションします。

3. シークレットを使用しているリソースについては、リソースの設定を開き、シークレットを更新します。

4. 証明書を使用しているリソースについては、証明書を更新します。

次のステップ

• Azure サブスクリプションの課金所有権を別のアカウントに譲渡する
• サブスクライバーと CSP の間で Azure サブスクリプションを譲渡する
• Microsoft Entra テナントに Azure サブスクリプションを関連付ける、または追加する
• エンタープライズ シナリオにおける Azure Lighthouse