チュートリアル:Azure PowerShell を使用して Azure リソースへのアクセス権をユーザーに付与する

[アーティクル]
05/11/2023

Azure ロールベースのアクセス制御 (Azure RBAC) は、Azure のリソースに対するアクセスを管理するための手法です。このチュートリアルでは、Azure PowerShell を使用して、サブスクリプション内のすべてを表示し、リソースグループ内のすべてを管理するためのアクセス権をユーザーに付与します。

このチュートリアルでは、以下の内容を学習します。

さまざまなスコープでのユーザーへのアクセス権の付与
アクセス権の表示
アクセス権の削除

Azure サブスクリプションをお持ちでない場合は、開始する前に無料アカウントを作成してください。

Note

Azure を操作するには、Azure Az PowerShell モジュールを使用することをお勧めします。作業を開始するには、「Azure PowerShell をインストールする」を参照してください。 Az PowerShell モジュールに移行する方法については、「AzureRM から Az への Azure PowerShell の移行」を参照してください。

前提条件

このチュートリアルを完了するには、次の要件があります。

Microsoft Entra ID でユーザーを作成するためのアクセス許可 (または既存のユーザーを持っている)
Azure Cloud Shell
Microsoft Graph PowerShell SDK

ロールの割り当て

Azure RBAC でアクセス権を付与するには、ロールの割り当てを作成します。ロールの割り当ては、セキュリティプリンシパル、ロールの定義、スコープの 3 つの要素で構成されています。このチュートリアルで実行するロールの割り当ては次の 2 つです。

セキュリティプリンシパル	ロール定義	Scope
User (RBAC チュートリアルユーザー)	Reader	サブスクリプション
User (RBAC チュートリアルユーザー)	Contributor	Resource group (rbac-tutorial-resource-group)

ユーザーのロールの割り当て

ユーザーの作成

ロールを割り当てるには、ユーザー、グループ、またはサービスプリンシパルが必要です。ユーザーがない場合は、作成します。

Azure Cloud Shell で、パスワードの複雑さの要件に準拠したパスワードを作成します。
```
$PasswordProfile = @{ Password = "<Password>" }
```

New-MgUser コマンドを使用して、ドメインの新規ユーザーを作成します。

New-MgUser -DisplayName "RBAC Tutorial User" -PasswordProfile $PasswordProfile `
   -UserPrincipalName "rbacuser@example.com" -AccountEnabled:$true -MailNickName "rbacuser"

DisplayName        Id                                   Mail UserPrincipalName
-----------        --                                   ---- -----------------
RBAC Tutorial User aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb      rbacuser@example.com

リソースグループを作成する

リソースグループを使用して、リソースグループスコープでロールを割り当てる方法を示すことができます。

Get-AzLocation コマンドを使用して、リージョンの場所の一覧を取得します。
```
Get-AzLocation | select Location
```
近くの場所を選択し、変数に割り当てます。
```
$location = "westus"
```

New-AzResourceGroup コマンドを使用して、新しいリソースグループを作成します。

New-AzResourceGroup -Name "rbac-tutorial-resource-group" -Location $location

ResourceGroupName : rbac-tutorial-resource-group
Location          : westus
ProvisioningState : Succeeded
Tags              :
ResourceId        : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/rbac-tutorial-resource-group

アクセス権の付与

ユーザーにアクセス権を付与するには、New-AzRoleAssignment コマンドを使用してロールを割り当てます。セキュリティプリンシパル、ロールの定義、およびスコープを指定する必要があります。

Get-AzSubscription コマンドを使用して、サブスクリプションの ID を取得します。

Get-AzSubscription

Name     : Pay-As-You-Go
Id       : 00000000-0000-0000-0000-000000000000
TenantId : aaaabbbb-0000-cccc-1111-dddd2222eeee
State    : Enabled

サブスクリプションスコープを変数に保存します。
```
$subScope = "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
```

閲覧者ロールをサブスクリプションスコープでユーザーに割り当てます。

New-AzRoleAssignment -SignInName rbacuser@example.com `
  -RoleDefinitionName "Reader" `
  -Scope $subScope

RoleAssignmentId   : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/providers/Microsoft.Authorization/roleAssignments/00000000-0000-0000-0000-000000000000
Scope              : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e
DisplayName        : RBAC Tutorial User
SignInName         : rbacuser@example.com
RoleDefinitionName : Reader
RoleDefinitionId   : acdd72a7-3385-48ef-bd42-f606fba81ae7
ObjectId           : aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
ObjectType         : User
CanDelegate        : False

共同作成者ロールをリソースグループスコープでユーザーに割り当てます。

New-AzRoleAssignment -SignInName rbacuser@example.com `
  -RoleDefinitionName "Contributor" `
  -ResourceGroupName "rbac-tutorial-resource-group"

RoleAssignmentId   : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/rbac-tutorial-resource-group/providers/Microsoft.Authorization/roleAssignments/00000000-0000-0000-0000-000000000000
Scope              : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/rbac-tutorial-resource-group
DisplayName        : RBAC Tutorial User
SignInName         : rbacuser@example.com
RoleDefinitionName : Contributor
RoleDefinitionId   : b24988ac-6180-42a0-ab88-20f7382dd24c
ObjectId           : aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
ObjectType         : User
CanDelegate        : False

アクセス権の表示

サブスクリプションのアクセス権を確認するには、Get-AzRoleAssignment コマンドを使用して、ロールの割り当てを一覧表示します。

Get-AzRoleAssignment -SignInName rbacuser@example.com -Scope $subScope

RoleAssignmentId   : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/providers/Microsoft.Authorization/roleAssignments/ffffffff-eeee-dddd-cccc-bbbbbbbbbbb0
Scope              : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e
DisplayName        : RBAC Tutorial User
SignInName         : rbacuser@example.com
RoleDefinitionName : Reader
RoleDefinitionId   : acdd72a7-3385-48ef-bd42-f606fba81ae7
ObjectId           : aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
ObjectType         : User
CanDelegate        : False

出力では、閲覧者ロールが、サブスクリプションスコープで RBAC チュートリアルユーザーに割り当てられていることを確認できます。

リソースグループのアクセス権を確認するには、Get-AzRoleAssignment コマンドを使用して、ロールの割り当てを一覧表示します。

Get-AzRoleAssignment -SignInName rbacuser@example.com -ResourceGroupName "rbac-tutorial-resource-group"

RoleAssignmentId   : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/rbac-tutorial-resource-group/providers/Microsoft.Authorization/roleAssignments/00000000-0000-0000-0000-000000000000
Scope              : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/rbac-tutorial-resource-group
DisplayName        : RBAC Tutorial User
SignInName         : rbacuser@example.com
RoleDefinitionName : Contributor
RoleDefinitionId   : b24988ac-6180-42a0-ab88-20f7382dd24c
ObjectId           : aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
ObjectType         : User
CanDelegate        : False

RoleAssignmentId   : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/providers/Microsoft.Authorization/roleAssignments/ffffffff-eeee-dddd-cccc-bbbbbbbbbbb0
Scope              : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e
DisplayName        : RBAC Tutorial User
SignInName         : rbacuser@example.com
RoleDefinitionName : Reader
RoleDefinitionId   : acdd72a7-3385-48ef-bd42-f606fba81ae7
ObjectId           : aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
ObjectType         : User
CanDelegate        : False

出力では、共同作成者ロールと閲覧者ロールの両方が、RBAC チュートリアルユーザーに割り当てられていることを確認できます。共同作成者ロールは rbac-tutorial-resource-group スコープです。また、閲覧者ロールは、サブスクリプションスコープに継承されます。

(省略可能) Azure portal を使用したアクセス権の表示

Azure portal で、ロールの割り当てがどのように表示されるかを確認するには、サブスクリプションの [アクセス制御 (IAM)] ブレードを表示します。
リソースグループの [アクセス制御 (IAM)] ブレードを表示します。

アクセス権の削除

ユーザー、グループ、アプリケーションのアクセス権を削除するには、Remove-AzRoleAssignment を使用して、ロールの割り当てを削除します。

次のコマンドを使用して、リソースグループスコープでユーザーの共同作成者ロールの割り当てを削除します。
```
Remove-AzRoleAssignment -SignInName rbacuser@example.com `
  -RoleDefinitionName "Contributor" `
  -ResourceGroupName "rbac-tutorial-resource-group"
```
次のコマンドを使用して、サブスクリプションスコープでユーザーの閲覧者ロールの割り当てを削除します。
```
Remove-AzRoleAssignment -SignInName rbacuser@example.com `
  -RoleDefinitionName "Reader" `
  -Scope $subScope
```

リソースをクリーンアップする

このチュートリアルで作成したリソースをクリーンアップするには、リソースグループとユーザーを削除します。

Remove-AzResourceGroup コマンドを使用して、リソースグループを削除します。

Remove-AzResourceGroup -Name "rbac-tutorial-resource-group"

Confirm
Are you sure you want to remove resource group 'rbac-tutorial-resource-group'
[Y] Yes  [N] No  [S] Suspend  [?] Help (default is "Y"):

確認を求められたら、「Y」と入力します。削除には数秒かかります。

Remove-MgUser コマンドを使用して、ユーザーを削除します。

$User = Get-MgUser -Filter "DisplayName eq 'RBAC Tutorial User'"
Remove-MgUser -UserId $User.Id

次のステップ

Azure PowerShell を使用して Azure ロールを割り当てる

次の方法で共有

チュートリアル:Azure PowerShell を使用して Azure リソースへのアクセス権をユーザーに付与する

前提条件

ロールの割り当て

ユーザーの作成

リソースグループを作成する

アクセス権の付与

アクセス権の表示

(省略可能) Azure portal を使用したアクセス権の表示

アクセス権の削除

リソースをクリーンアップする

次のステップ

フィードバック

その他のリソース

次の方法で共有

チュートリアル:Azure PowerShell を使用して Azure リソースへのアクセス権をユーザーに付与する

前提条件

ロールの割り当て

ユーザーの作成

リソース グループを作成する

アクセス権の付与

アクセス権の表示

(省略可能) Azure portal を使用したアクセス権の表示

アクセス権の削除

リソースをクリーンアップする

次のステップ

フィードバック

その他のリソース

リソースグループを作成する