Azure PowerShell を使用して Azure カスタムロールを作成または更新する

[アーティクル]
12/01/2023

Azure の組み込みロールが組織の特定のニーズを満たさない場合は、独自のカスタムロールを作成することができます。この記事では、Azure PowerShell を使用して、カスタムロールを一覧表示、作成、更新、または削除する方法について説明します。

カスタムロールを作成する方法に関する詳細なチュートリアルについては、「チュートリアル: Azure PowerShell を使用して Azure カスタムロールを作成する」を参照してください。

注意

Azure を操作するには、Azure Az PowerShell モジュールを使用することをお勧めします。作業を開始するには、Azure PowerShell のインストールに関する記事を参照してください。 Az PowerShell モジュールに移行する方法については、「AzureRM から Az への Azure PowerShell の移行」を参照してください。

前提条件

カスタムロールを作成するには、次のものが必要です。

ユーザーアクセス管理istrator など、カスタムロールを作成するためのアクセス許可
Azure Cloud Shell または Azure PowerShell

カスタムロールの一覧表示

特定のスコープで割り当て可能なロールを一覧表示するには、Get-AzRoleDefinition コマンドを使用します。次の例では、選択したサブスクリプションで割り当て可能なすべてのロールが一覧表示されます。

Get-AzRoleDefinition | FT Name, IsCustom

Name                                              IsCustom
----                                              --------
Virtual Machine Operator                              True
AcrImageSigner                                       False
AcrQuarantineReader                                  False
AcrQuarantineWriter                                  False
API Management Service Contributor                   False
...

次の例では、選択したサブスクリプションで割り当て可能なカスタムロールだけが一覧表示されます。

Get-AzRoleDefinition -Custom | FT Name, IsCustom

Name                     IsCustom
----                     --------
Virtual Machine Operator     True

選択したサブスクリプションがロールの AssignableScopes にない場合、カスタムロールは一覧表示されません。

カスタムロールの定義の一覧表示

カスタムロールの定義を一覧表示するには、Get-AzRoleDefinition を使用します。これは、組み込みロールに使用するコマンドと同じです。

Get-AzRoleDefinition <role_name> | ConvertTo-Json

PS C:\> Get-AzRoleDefinition "Virtual Machine Operator" | ConvertTo-Json

{
  "Name": "Virtual Machine Operator",
  "Id": "00000000-0000-0000-0000-000000000000",
  "IsCustom": true,
  "Description": "Can monitor and restart virtual machines.",
  "Actions": [
    "Microsoft.Storage/*/read",
    "Microsoft.Network/*/read",
    "Microsoft.Compute/*/read",
    "Microsoft.Compute/virtualMachines/start/action",
    "Microsoft.Compute/virtualMachines/restart/action",
    "Microsoft.Authorization/*/read",
    "Microsoft.ResourceHealth/availabilityStatuses/read",
    "Microsoft.Resources/subscriptions/resourceGroups/read",
    "Microsoft.Insights/alertRules/*",
    "Microsoft.Support/*"
  ],
  "NotActions": [],
  "DataActions": [],
  "NotDataActions": [],
  "AssignableScopes": [
    "/subscriptions/11111111-1111-1111-1111-111111111111"
  ]
}

次の例では、ロールのアクションのみを一覧表示します。

(Get-AzRoleDefinition <role_name>).Actions

PS C:\> (Get-AzRoleDefinition "Virtual Machine Operator").Actions

"Microsoft.Storage/*/read",
"Microsoft.Network/*/read",
"Microsoft.Compute/*/read",
"Microsoft.Compute/virtualMachines/start/action",
"Microsoft.Compute/virtualMachines/restart/action",
"Microsoft.Authorization/*/read",
"Microsoft.ResourceHealth/availabilityStatuses/read",
"Microsoft.Resources/subscriptions/resourceGroups/read",
"Microsoft.Insights/alertRules/*",
"Microsoft.Insights/diagnosticSettings/*",
"Microsoft.Support/*"

カスタムロールを作成する

カスタムロールを作成するには、New-AzRoleDefinition コマンドを使用します。ロールを構成する方法は 2 つあります。PSRoleDefinition オブジェクトを使用するか JSON テンプレートを使用します。

リソースプロバイダー操作を取得する

カスタムロールを作成するときは、リソースプロバイダーから可能なすべての操作を理解しておくことが重要です。この情報を取得するには、リソースプロバイダー操作のリストを表示するか、Get-AzProviderOperation コマンドを使用します。たとえば、仮想マシンで使用可能なすべての操作を確認する場合は、次のコマンドを使います。

Get-AzProviderOperation <operation> | FT OperationName, Operation, Description -AutoSize

PS C:\> Get-AzProviderOperation "Microsoft.Compute/virtualMachines/*" | FT OperationName, Operation, Description -AutoSize

OperationName                                  Operation                                                      Description
-------------                                  ---------                                                      -----------
Get Virtual Machine                            Microsoft.Compute/virtualMachines/read                         Get the propertie...
Create or Update Virtual Machine               Microsoft.Compute/virtualMachines/write                        Creates a new vir...
Delete Virtual Machine                         Microsoft.Compute/virtualMachines/delete                       Deletes the virtu...
Start Virtual Machine                          Microsoft.Compute/virtualMachines/start/action                 Starts the virtua...
...

PSRoleDefinition オブジェクトを使用したカスタムロールの作成

PowerShell を使ってカスタムロールを作成する場合は、組み込みのロールを出発点として使うことも、ゼロから始めることもできます。このセクションの最初の例では、組み込みのロールから始めて、さらに多くのアクセス許可を持つようにカスタマイズします。その属性を編集し、必要に応じて Actions、NotActions、または AssignableScopesを追加して、変更内容を新しいロールとして保存します。

以下の例では、仮想マシンの共同作業者組み込みロールを土台として、仮想マシンオペレーターというカスタムロールを作成しています。この新しいロールでは、Microsoft.Compute、Microsoft.Storage、Microsoft.Network リソースプロバイダーのすべての読み取りアクションへのアクセスを許可し、仮想マシンを起動、再起動、監視するためのアクセスを許可します。カスタムロールは 2 つのサブスクリプションで使用できます。

$role = Get-AzRoleDefinition "Virtual Machine Contributor"
$role.Id = $null
$role.Name = "Virtual Machine Operator"
$role.Description = "Can monitor and restart virtual machines."
$role.Actions.Clear()
$role.Actions.Add("Microsoft.Storage/*/read")
$role.Actions.Add("Microsoft.Network/*/read")
$role.Actions.Add("Microsoft.Compute/*/read")
$role.Actions.Add("Microsoft.Compute/virtualMachines/start/action")
$role.Actions.Add("Microsoft.Compute/virtualMachines/restart/action")
$role.Actions.Add("Microsoft.Authorization/*/read")
$role.Actions.Add("Microsoft.ResourceHealth/availabilityStatuses/read")
$role.Actions.Add("Microsoft.Resources/subscriptions/resourceGroups/read")
$role.Actions.Add("Microsoft.Insights/alertRules/*")
$role.Actions.Add("Microsoft.Support/*")
$role.AssignableScopes.Clear()
$role.AssignableScopes.Add("/subscriptions/00000000-0000-0000-0000-000000000000")
$role.AssignableScopes.Add("/subscriptions/11111111-1111-1111-1111-111111111111")
New-AzRoleDefinition -Role $role

次の例では、仮想マシンオペレーター カスタムロールを作成する別の方法を示しています。まず、新しい PSRoleDefinition オブジェクトを作成します。これらのアクションは perms 変数で指定され、Actions プロパティに設定されます。 NotActions プロパティは、仮想マシンの共同作成者組み込みロールから NotActions を読み取ることで設定されます。仮想マシンの共同作成者には NotActions がないため、この行は必要ありませんが、別のロールから情報を取得する方法を示しています。

$role = [Microsoft.Azure.Commands.Resources.Models.Authorization.PSRoleDefinition]::new()
$role.Name = 'Virtual Machine Operator 2'
$role.Description = 'Can monitor and restart virtual machines.'
$role.IsCustom = $true
$perms = 'Microsoft.Storage/*/read','Microsoft.Network/*/read','Microsoft.Compute/*/read'
$perms += 'Microsoft.Compute/virtualMachines/start/action','Microsoft.Compute/virtualMachines/restart/action'
$perms += 'Microsoft.Authorization/*/read'
$perms += 'Microsoft.ResourceHealth/availabilityStatuses/read'
$perms += 'Microsoft.Resources/subscriptions/resourceGroups/read'
$perms += 'Microsoft.Insights/alertRules/*','Microsoft.Support/*'
$role.Actions = $perms
$role.NotActions = (Get-AzRoleDefinition -Name 'Virtual Machine Contributor').NotActions
$subs = '/subscriptions/00000000-0000-0000-0000-000000000000','/subscriptions/11111111-1111-1111-1111-111111111111'
$role.AssignableScopes = $subs
New-AzRoleDefinition -Role $role

JSON テンプレートを使用したカスタムロールの作成

カスタムロールのソース定義として JSON テンプレートを使用できます。次の例では、ストレージと計算リソースへの読み取りアクセス、サポートへのアクセスを許可するカスタムロールを作成し、そのロールを 2 つのサブスクリプションに追加します。以下のコード例を含んだ新しいファイル C:\CustomRoles\customrole1.json を作成します。新しい ID が自動的に生成されるため、最初のロール作成では ID を null に設定する必要があります。

{
  "Name": "Custom Role 1",
  "Id": null,
  "IsCustom": true,
  "Description": "Allows for read access to Azure storage and compute resources and access to support",
  "Actions": [
    "Microsoft.Compute/*/read",
    "Microsoft.Storage/*/read",
    "Microsoft.Support/*"
  ],
  "NotActions": [],
  "AssignableScopes": [
    "/subscriptions/00000000-0000-0000-0000-000000000000",
    "/subscriptions/11111111-1111-1111-1111-111111111111"
  ]
}

ロールをサブスクリプションに追加するには、次の PowerShell コマンドを実行します。

New-AzRoleDefinition -InputFile "C:\CustomRoles\customrole1.json"

カスタムロールの更新

カスタムロールの作成と同様に、PSRoleDefinition オブジェクトまたは JSON テンプレートを使用して既存のカスタムロールを変更できます。

PSRoleDefinition オブジェクトを使用したカスタムロールの更新

カスタムロールを修正するには、まず Get-AzRoleDefinition コマンドを使用してロール定義を取得します。次に、必要に応じてロール定義を変更します。最後に、Set-AzRoleDefinition コマンドを使用して変更したロール定義を保存します。

次の例では、Microsoft.Insights/diagnosticSettings/* アクションを仮想マシンオペレーター カスタムロールに追加します。

$role = Get-AzRoleDefinition "Virtual Machine Operator"
$role.Actions.Add("Microsoft.Insights/diagnosticSettings/*")
Set-AzRoleDefinition -Role $role

PS C:\> $role = Get-AzRoleDefinition "Virtual Machine Operator"
PS C:\> $role.Actions.Add("Microsoft.Insights/diagnosticSettings/*")
PS C:\> Set-AzRoleDefinition -Role $role

Name             : Virtual Machine Operator
Id               : 88888888-8888-8888-8888-888888888888
IsCustom         : True
Description      : Can monitor and restart virtual machines.
Actions          : {Microsoft.Storage/*/read, Microsoft.Network/*/read, Microsoft.Compute/*/read,
                   Microsoft.Compute/virtualMachines/start/action...}
NotActions       : {}
AssignableScopes : {/subscriptions/00000000-0000-0000-0000-000000000000,
                   /subscriptions/11111111-1111-1111-1111-111111111111}

次の例では、Azure サブスクリプションが 仮想マシンオペレーター カスタムロールの割り当て可能なスコープに追加されます。

Get-AzSubscription -SubscriptionName Production3

$role = Get-AzRoleDefinition "Virtual Machine Operator"
$role.AssignableScopes.Add("/subscriptions/22222222-2222-2222-2222-222222222222")
Set-AzRoleDefinition -Role $role

PS C:\> Get-AzSubscription -SubscriptionName Production3

Name     : Production3
Id       : 22222222-2222-2222-2222-222222222222
TenantId : 99999999-9999-9999-9999-999999999999
State    : Enabled

PS C:\> $role = Get-AzRoleDefinition "Virtual Machine Operator"
PS C:\> $role.AssignableScopes.Add("/subscriptions/22222222-2222-2222-2222-222222222222")
PS C:\> Set-AzRoleDefinition -Role $role

Name             : Virtual Machine Operator
Id               : 88888888-8888-8888-8888-888888888888
IsCustom         : True
Description      : Can monitor and restart virtual machines.
Actions          : {Microsoft.Storage/*/read, Microsoft.Network/*/read, Microsoft.Compute/*/read,
                   Microsoft.Compute/virtualMachines/start/action...}
NotActions       : {}
AssignableScopes : {/subscriptions/00000000-0000-0000-0000-000000000000,
                   /subscriptions/11111111-1111-1111-1111-111111111111,
                   /subscriptions/22222222-2222-2222-2222-222222222222}

次の例では、仮想マシンオペレーター カスタムロールの AssignableScopes に管理グループが追加されます。

Get-AzManagementGroup

$role = Get-AzRoleDefinition "Virtual Machine Operator"
$role.AssignableScopes.Add("/providers/Microsoft.Management/managementGroups/{groupId1}")
Set-AzRoleDefinition -Role $role

PS C:\> Get-AzManagementGroup

Id          : /providers/Microsoft.Management/managementGroups/marketing-group
Type        : /providers/Microsoft.Management/managementGroups
Name        : marketing-group
TenantId    : 99999999-9999-9999-9999-999999999999
DisplayName : Marketing group

PS C:\> $role = Get-AzRoleDefinition "Virtual Machine Operator"
PS C:\> $role.AssignableScopes.Add("/providers/Microsoft.Management/managementGroups/marketing-group")
PS C:\> Set-AzRoleDefinition -Role $role

Name             : Virtual Machine Operator
Id               : 88888888-8888-8888-8888-888888888888
IsCustom         : True
Description      : Can monitor and restart virtual machines.
Actions          : {Microsoft.Storage/*/read, Microsoft.Network/*/read, Microsoft.Compute/*/read,
                   Microsoft.Compute/virtualMachines/start/action...}
NotActions       : {}
AssignableScopes : {/subscriptions/00000000-0000-0000-0000-000000000000,
                   /subscriptions/11111111-1111-1111-1111-111111111111,
                   /subscriptions/22222222-2222-2222-2222-222222222222,
                   /providers/Microsoft.Management/managementGroups/marketing-group}

JSON テンプレートを使用したカスタムロールの更新

前の JSON テンプレートを使用して、既存のカスタムロールを簡単に変更して、操作を追加または削除できます。次の例のように、JSON テンプレートを更新し、ネットワークの読み取り操作を追加します。テンプレートに示されている定義は、既存の定義に累積的には適用されません。つまり、ロールは、テンプレートに指定したとおりに表れます。また、Id フィールドをロールの ID で更新する必要もあります。この値が不明な場合は、Get-AzRoleDefinition コマンドレットを使用してこの情報を取得できます。

{
  "Name": "Custom Role 1",
  "Id": "acce7ded-2559-449d-bcd5-e9604e50bad1",
  "IsCustom": true,
  "Description": "Allows for read access to Azure storage and compute resources and access to support",
  "Actions": [
    "Microsoft.Compute/*/read",
    "Microsoft.Storage/*/read",
    "Microsoft.Network/*/read",
    "Microsoft.Support/*"
  ],
  "NotActions": [],
  "AssignableScopes": [
    "/subscriptions/00000000-0000-0000-0000-000000000000",
    "/subscriptions/11111111-1111-1111-1111-111111111111"
  ]
}

既存のロールを更新するには、次の PowerShell コマンドを実行します。

Set-AzRoleDefinition -InputFile "C:\CustomRoles\customrole1.json"

カスタムロールの削除

カスタムロールを使用しているロールの割り当てをすべて削除します。詳細については、「カスタムロールを削除するロールの割り当てを検索する」を参照してください。

Remove-AzRoleDefinition コマンドを使用し、カスタムロールを削除します。

次の例では、 仮想マシンオペレーター カスタムロールが削除されます。

Get-AzRoleDefinition "Virtual Machine Operator"
Get-AzRoleDefinition "Virtual Machine Operator" | Remove-AzRoleDefinition

PS C:\> Get-AzRoleDefinition "Virtual Machine Operator"

Name             : Virtual Machine Operator
Id               : 88888888-8888-8888-8888-888888888888
IsCustom         : True
Description      : Can monitor and restart virtual machines.
Actions          : {Microsoft.Storage/*/read, Microsoft.Network/*/read, Microsoft.Compute/*/read,
                   Microsoft.Compute/virtualMachines/start/action...}
NotActions       : {}
AssignableScopes : {/subscriptions/00000000-0000-0000-0000-000000000000,
                   /subscriptions/11111111-1111-1111-1111-111111111111}

PS C:\> Get-AzRoleDefinition "Virtual Machine Operator" | Remove-AzRoleDefinition

Confirm
Are you sure you want to remove role definition with name 'Virtual Machine Operator'.
[Y] Yes  [N] No  [S] Suspend  [?] Help (default is "Y"): Y

Azure PowerShell を使用して Azure カスタムロールを作成または更新する

前提条件

カスタムロールの一覧表示

カスタムロールの定義の一覧表示

カスタムロールを作成する

リソースプロバイダー操作を取得する

PSRoleDefinition オブジェクトを使用したカスタムロールの作成

JSON テンプレートを使用したカスタムロールの作成

カスタムロールの更新

PSRoleDefinition オブジェクトを使用したカスタムロールの更新

JSON テンプレートを使用したカスタムロールの更新

カスタムロールの削除

次のステップ

その他のリソース

Azure PowerShell を使用して Azure カスタム ロールを作成または更新する

前提条件

カスタム ロールの一覧表示

カスタム ロールの定義の一覧表示

カスタム ロールを作成する

リソース プロバイダー操作を取得する

PSRoleDefinition オブジェクトを使用したカスタム ロールの作成

JSON テンプレートを使用したカスタム ロールの作成

カスタム ロールの更新

PSRoleDefinition オブジェクトを使用したカスタム ロールの更新

JSON テンプレートを使用したカスタム ロールの更新

カスタム ロールの削除

次のステップ

その他のリソース

Azure PowerShell を使用して Azure カスタムロールを作成または更新する

カスタムロールの一覧表示

カスタムロールの定義の一覧表示

カスタムロールを作成する

リソースプロバイダー操作を取得する

PSRoleDefinition オブジェクトを使用したカスタムロールの作成

JSON テンプレートを使用したカスタムロールの作成

カスタムロールの更新

PSRoleDefinition オブジェクトを使用したカスタムロールの更新

JSON テンプレートを使用したカスタムロールの更新

カスタムロールの削除