Azure Virtual Desktop サービス プリンシパルに Azure RBAC の役割または Microsoft Entra ロールを割り当てる

Azure portal を使用して、サブスクリプションをスコープとする Azure Virtual Desktop サービス プリンシパルに Azure RBAC の役割を割り当てる方法を次に示します。

1. Azure portal にサインインします。

2. 検索ボックスに「Microsoft Entra ID」と入力し、一致するサービス エントリを選択します。

3. [概要] ページの [テナントの検索] の検索ボックスに、前の表から選択した割り当てたいサービス プリンシパルのアプリケーション ID を入力します。

4. 結果で、割り当てたいサービス プリンシパルに一致するエンタープライズ アプリケーションを選択します。これにより Azure Virtual Desktop または Windows Virtual Desktop が起動します。

5. プロパティで、名前とオブジェクト ID を記録しておきます。 オブジェクト ID はアプリケーション ID に関連付けられており、テナントに固有です。

6. 検索ボックスに戻り、「サブスクリプション」と入力して、一致するサービス エントリを選びます。

7. ロールの割り当てを追加するサブスクリプションを選びます。

8. [アクセス制御 (IAM)]、[+ 追加]、[ロールの割り当てを追加] の順に選びます。

9. Azure Virtual Desktop サービス プリンシパルに割り当てるロールを選んだら、[次へ] を選びます。

10. [アクセスの割り当て先] が [Microsoft Entra のユーザー、グループ、またはサービス プリンシパル] に設定されていることを確認してから、[メンバーの選択] を選びます。

11. 前にメモしたエンタープライズ アプリケーションの名前を入力します。

12. 結果から一致するエントリを選んで、[選択] を選びます。 同じ名前のエントリが 2 つある場合、現時点では両方とも選択します。

13. テーブルでメンバーの一覧を確認します。 エントリが 2 つある場合は、前に記録したオブジェクト ID と一致しないエントリを削除します。

14. [次へ] を選んでから、[レビューと割り当て] を選んでロールの割り当てを完了します。

Az.DesktopVirtualization PowerShell モジュールを使用して、サブスクリプションをスコープとする Azure Virtual Desktop サービス プリンシパルに Azure RBAC の役割を割り当てる方法を次に示します。

1. ターミナルの種類として PowerShell を指定して、Azure portal で Azure Cloud Shell を開くか、ローカル デバイスで PowerShell を実行します。

   • Cloud Shell を使用している場合は、Azure コンテキストが、使用したいサブスクリプションに設定されていることを確認します。

   • ローカルで PowerShell を使用している場合は、まず Azure PowerShell でサインインし、次に、使用したいサブスクリプションに Azure コンテキストが設定されていることを確認します。

2. 次のコマンドを実行して使用できるすべてのサブスクリプションの一覧を表示し、ロールの割り当てを追加するものの ID を見つけます。

   Get-AzSubscription
   

3. 次のコマンドを実行してサブスクリプション ID を変数に格納し、この例のサブスクリプション ID を実際のサブスクリプション ID に置き換えます。

   $subId = "<SubscriptionID>"
   

4. 次のコマンドを実行して、Azure Virtual Desktop サービス プリンシパルにロールを割り当てます。RoleDefinitionName パラメーターの値は、割り当てる必要があるロールの名前に置き換えます。また、ApplicationId パラメーターの値については、割り当てたいサービス プリンシパルを前の表から選択し、そのアプリケーション ID に置き換えます。 この例では、サブスクリプションの Azure Virtual Desktop サービス プリンシパルに、Desktop Virtualization Power On Off 共同作成者ロールを割り当てます。

   $parameters = @{
       RoleDefinitionName = "Desktop Virtualization Power On Off Contributor"
       ApplicationId = "9cdead84-a844-4324-93f2-b2e6bb768d07"
       Scope = "/subscriptions/$subId"
   }
   
   New-AzRoleAssignment @parameters
   

   次の例のような出力になる必要があります。

   RoleAssignmentName : c5221262-d1fa-4d32-9d60-8bd86f618d20
   RoleAssignmentId   : /subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleAssignments/c5221262-d1fa-4d32-9d60-8bd86f618d20
   Scope              : /subscriptions/00000000-0000-0000-0000-000000000000
   DisplayName        : Azure Virtual Desktop
   SignInName         : 
   RoleDefinitionName : Desktop Virtualization Power On Off Contributor
   RoleDefinitionId   : 40c5ff49-9181-41f8-ae61-143b0e78555e
   ObjectId           : aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
   ObjectType         : ServicePrincipal
   CanDelegate        : False
   Description        : 
   ConditionVersion   : 
   Condition          :
   

Azure CLI の desktopvirtualization 拡張機能を使用して、サブスクリプションをスコープとする Azure Virtual Desktop サービス プリンシパルに Azure RBAC の役割を割り当てる方法を次に示します。

1. Bash ターミナルの種類を指定して、Azure portal で Azure Cloud Shell を開くか、ローカル デバイスで Azure CLI を実行します。

   • Cloud Shell を使用する場合は、使用するサブスクリプションに Azure コンテキストが設定されていることを確認します。

   • ローカルで Azure CLI を使用する場合は、まず Azure CLI でサインインし、次に、使用したいサブスクリプションに Azure コンテキストが設定されていることを確認します。

2. 次のコマンドを実行して使用できるすべてのサブスクリプションの一覧を表示し、ロールの割り当てを追加するものの ID を見つけます。

   az account list --output table
   

3. 次のコマンドを実行して SubscriptionId の値を変数に格納し、この例のサブスクリプション ID を実際のサブスクリプション ID に置き換えます。

   subId=00000000-0000-0000-0000-000000000000
   

4. 次のコマンドを実行して、Azure Virtual Desktop サービス プリンシパルにロールを割り当てます。role パラメーターの値は、割り当てる必要があるロールの名前に置き換えます。また、assignee パラメーターの値については、割り当てたいサービス プリンシパルを前の表から選択し、そのアプリケーション ID に置き換えます。 この例では、サブスクリプションの Azure Virtual Desktop サービス プリンシパルに、Desktop Virtualization Power On Off 共同作成者ロールを割り当てます。

   az role assignment create \
       --assignee "9cdead84-a844-4324-93f2-b2e6bb768d07" \
       --role "Desktop Virtualization Power On Off Contributor" \
       --scope "/subscriptions/$subId"
   

   次の例のような出力になる必要があります。

   {
     "condition": null,
     "conditionVersion": null,
     "createdBy": null,
     "createdOn": "2023-06-22T13:50:22.978226+00:00",
     "delegatedManagedIdentityResourceId": null,
     "description": null,
     "id": "/subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleAssignments/a211100e-aa52-4f8d-aac9-ad0833f969d0",
     "name": "a211100e-aa52-4f8d-aac9-ad0833f969d0",
     "principalId": "00000000-0000-0000-0000-000000000000",
     "principalType": "ServicePrincipal",
     "roleDefinitionId": "/subscriptions/00000000-0000-0000-0000-000000000000/providers/Microsoft.Authorization/roleDefinitions/40c5ff49-9181-41f8-ae61-143b0e78555e",
     "scope": "/subscriptions/00000000-0000-0000-0000-000000000000",
     "type": "Microsoft.Authorization/roleAssignments",
     "updatedBy": "effe20b0-5afb-4e68-a5d7-f8ef9873a070",
     "updatedOn": "2023-06-22T13:50:23.335229+00:00"
   }