Azure カスタムロール

[アーティクル]
02/22/2024

Azure の組み込みロールが組織の特定のニーズを満たさない場合は、独自のカスタムロールを作成することができます。組み込みロールと同様に、カスタムロールは、ユーザー、グループ、サービスプリンシパルに対して、管理グループ、サブスクリプション、およびリソースグループのスコープで割り当てることができます。

カスタムロールは、同じ Microsoft Entra テナントを信頼するサブスクリプション間で共有できます。カスタムロールの数は、テナントあたり 5,000 個という制限があります。 (21Vianet が運営する Microsoft Azure の場合、カスタムロールの上限数は 2,000 個です。)カスタムロールは、Azure portal、Azure PowerShell、Azure CLI、または REST API を使用して作成できます。

カスタムロールの作成手順

カスタムロールを作成する基本的な手順について説明します。

必要なアクセス許可を決定する。

カスタムロールを作成する場合、アクセス許可を定義するために使用可能なアクションを把握しておく必要があります。通常は、まず、既存の組み込みロールを使用し、必要に応じてそれを変更します。アクションをロール定義の Actions または NotActions プロパティに追加します。データアクションをする場合は、それらを DataActions または NotDataActions プロパティに追加します。

詳細については、次のセクション「必要なアクセス許可を特定する方法」をご覧ください。
カスタムロールを作成する方法を決定する。

カスタムロールは、Azure portal、Azure PowerShell、Azure CLI、または REST API を使用して作成できます。
カスタムロールを作成する。

最も簡単な方法は、Azure portal を使用することです。 Azure portal を使用してカスタムロールを作成する手順については、「Azure portal を使用して Azure カスタムロールを作成または更新する」を参照してください。
カスタムロールをテストする。

カスタムロールを作成したら、それをテストして期待どおりに動作することを確認する必要があります。後で調整する必要がある場合は、カスタムロールを更新できます。

必要なアクセス許可を特定する方法

Azure には、カスタムロールに含めることができる何千ものアクセス許可があります。カスタムロールに追加するアクセス許可を決定するのに役立ついくつかの方法を示します。

既存の組み込みロールを確認します。

既存のロールを変更したり、複数のロールで使用されるアクセス許可を結合したりすることができます。
アクセス権を付与する Azure サービスを一覧表示します。
Azure サービスにマップされるリソースプロバイダーを決定します。

Azure サービスでは、リソースプロバイダーによって機能とアクセス許可が公開されます。たとえば、Microsoft.Compute リソースプロバイダーは、仮想マシンのリソースを提供し、Microsoft.Billing リソースプロバイダーはサブスクリプションと課金のリソースを提供します。リソースプロバイダーを把握することで、カスタムロールに必要なアクセス許可を絞り込み特定できます。

Azure portal を使用してカスタムロールを作成する場合は、キーワードを検索してリソースプロバイダーを特定することもできます。この検索機能については、「Azure portal を使用して Azure カスタムロールを作成または更新する」で説明しています。
使用可能なアクセス許可を検索して、含めるアクセス許可を見つけます。

Azure portal を使用してカスタムロールを作成する場合は、キーワードを使用してアクセス許可を検索できます。たとえば、"仮想マシン" や "請求" のアクセス許可を検索できます。すべてのアクセス許可を CSV ファイルとしてダウンロードし、このファイルを検索することもできます。この検索機能については、「Azure portal を使用して Azure カスタムロールを作成または更新する」で説明しています。

カスタムロールの例

Azure PowerShell を使用して JSON 形式で表示されるカスタムロールの例を次に示します。このカスタムロールは、仮想マシンの監視と再起動に使用できます。

{
  "Name": "Virtual Machine Operator",
  "Id": "88888888-8888-8888-8888-888888888888",
  "IsCustom": true,
  "Description": "Can monitor and restart virtual machines.",
  "Actions": [
    "Microsoft.Storage/*/read",
    "Microsoft.Network/*/read",
    "Microsoft.Compute/*/read",
    "Microsoft.Compute/virtualMachines/start/action",
    "Microsoft.Compute/virtualMachines/restart/action",
    "Microsoft.Authorization/*/read",
    "Microsoft.ResourceHealth/availabilityStatuses/read",
    "Microsoft.Resources/subscriptions/resourceGroups/read",
    "Microsoft.Insights/alertRules/*",
    "Microsoft.Insights/diagnosticSettings/*",
    "Microsoft.Support/*"
  ],
  "NotActions": [],
  "DataActions": [],
  "NotDataActions": [],
  "AssignableScopes": [
    "/subscriptions/{subscriptionId1}",
    "/subscriptions/{subscriptionId2}",
    "/providers/Microsoft.Management/managementGroups/{groupId1}"
  ]
}

Azure CLI を使用して表示される同じカスタムロールを次に示します。

[
  {
    "assignableScopes": [
      "/subscriptions/{subscriptionId1}",
      "/subscriptions/{subscriptionId2}",
      "/providers/Microsoft.Management/managementGroups/{groupId1}"
    ],
    "description": "Can monitor and restart virtual machines.",
    "id": "/subscriptions/{subscriptionId1}/providers/Microsoft.Authorization/roleDefinitions/88888888-8888-8888-8888-888888888888",
    "name": "88888888-8888-8888-8888-888888888888",
    "permissions": [
      {
        "actions": [
          "Microsoft.Storage/*/read",
          "Microsoft.Network/*/read",
          "Microsoft.Compute/*/read",
          "Microsoft.Compute/virtualMachines/start/action",
          "Microsoft.Compute/virtualMachines/restart/action",
          "Microsoft.Authorization/*/read",
          "Microsoft.ResourceHealth/availabilityStatuses/read",
          "Microsoft.Resources/subscriptions/resourceGroups/read",
          "Microsoft.Insights/alertRules/*",
          "Microsoft.Insights/diagnosticSettings/*",
          "Microsoft.Support/*"
        ],
        "dataActions": [],
        "notActions": [],
        "notDataActions": []
      }
    ],
    "roleName": "Virtual Machine Operator",
    "roleType": "CustomRole",
    "type": "Microsoft.Authorization/roleDefinitions"
  }
]

カスタムロールのプロパティ

次の表で、カスタムロールのプロパティについて説明します。

プロパティ	必須	タイプ	説明
`Name` `roleName`	イエス	String	カスタムロールの表示名。ロールの定義は、管理グループまたはサブスクリプションレベルのリソースですが、同じ Microsoft Entra テナントを共有する複数のサブスクリプションで使用できます。この表示名は、Microsoft Entra テナントのスコープで一意である必要があります。英字、数字、スペース、特殊文字を含めることができます。最大文字数は 512 文字です。
`Id` `name`	はい	String	カスタムロールの一意の ID。 Azure PowerShell と Azure CLI では、新しいロールを作成するときに自動的にこの ID が生成されます。
`IsCustom` `roleType`	はい	String	これがカスタムロールであるかどうかを示します。カスタムロールの場合は `true` または `CustomRole` に設定します。組み込みロールの場合は `false` または `BuiltInRole` に設定します。
`Description` `description`	はい	String	カスタムロールの説明。英字、数字、スペース、特殊文字を含めることができます。最大文字数は 2048 文字です。
`Actions` `actions`	はい	String[]	ロールで実行できるコントロールプレーンアクションを指定する文字列の配列。詳細については、アクションを参照してください。
`NotActions` `notActions`	いいえ	String[]	許可される `Actions` から除外されるコントロールプレーンアクションを指定する文字列の配列。詳細については、「notActions」を参照してください。
`DataActions` `dataActions`	いいえ	String[]	対象のオブジェクト内のデータに対して、ロールで実行できるコントロールプレーンアクションを指定する文字列の配列。 `DataActions` を指定したカスタムロールを作成した場合、そのロールは管理グループのスコープで割り当てることができません。詳細については、「DataActions」を参照してください。
`NotDataActions` `notDataActions`	いいえ	String[]	許可される `DataActions` から除外されるデータプレーンアクションを指定する文字列の配列。詳細については、「NotDataActions」を参照してください。
`AssignableScopes` `assignableScopes`	はい	String[]	割り当てにカスタムロールを使用できるスコープを指定する文字列の配列。 `AssignableScopes` の最大数は 2,000 です。詳細については、「AssignableScopes」を参照してください。

アクセス許可の文字列では大文字と小文字が区別されません。カスタムロールを作成する場合は、「Azure リソースプロバイダーの操作」に示されているアクセス許可の大文字と小文字の区別の規則に従ってください。

ワイルドカードのアクセス許可

Actions、NotActions、DataActions、および NotDataActions では、アクセス許可の定義でワイルドカード (*) をサポートしています。ワイルドカード (*) を使用すると、指定されたアクション文字列に一致するものすべてにアクセス許可が拡張されます。たとえば、Azure Cost Management とエクスポートに関連するすべてのアクセス許可を追加したいとします。次のすべてのアクション文字列を追加できます。

Microsoft.CostManagement/exports/action
Microsoft.CostManagement/exports/read
Microsoft.CostManagement/exports/write
Microsoft.CostManagement/exports/delete
Microsoft.CostManagement/exports/run/action

これらの文字列をすべて追加する代わりに、ワイルドカードの文字列を追加するだけで済みます。たとえば、次のワイルドカードの文字列は、前の 5 つの文字列に相当します。これには、今後追加される可能性があるエクスポートのアクセス許可も含まれます。

Microsoft.CostManagement/exports/*

Note

ワイルドカード (*) 文字を使用する代わりに、Actions と DataActions を明示的に指定することをお勧めします。今後の Actions または DataActions を通じて付与される追加のアクセスとアクセス許可は、ワイルドカードを使用した望ましくない動作である可能性があります。

カスタムロールを作成、削除、更新、または表示できるユーザー

組み込みロールと同じように、AssignableScopes プロパティでは、割り当てにロールを使用できるスコープを指定します。カスタムロールの AssignableScopes プロパティでは、カスタムロールを作成、削除、更新、または表示できるユーザーも制御されます。

タスク	アクション	説明
カスタムロールの作成/削除	`Microsoft.Authorization/ roleDefinitions/write`	カスタムロールのすべての `AssignableScopes` に対してこのアクションが許可されているユーザーは、これらのスコープで使用するカスタムロールを作成 (または削除) できます。たとえば、管理グループ、サブスクリプション、リソースグループの所有者とユーザーアクセス管理者です。
カスタムロールの更新	`Microsoft.Authorization/ roleDefinitions/write`	カスタムロールのすべての `AssignableScopes` に対してこのアクションが許可されているユーザーは、これらのスコープ内のカスタムロールを更新できます。たとえば、管理グループ、サブスクリプション、リソースグループの所有者とユーザーアクセス管理者です。
カスタムロールの表示	`Microsoft.Authorization/ roleDefinitions/read`	あるスコープでこのアクションを許可されたユーザーは、そのスコープで割り当て可能なカスタムロールを表示できます。すべての組み込みロールを使用すると、カスタムロールを割り当てに使用できます。

Note

ロールの名前が変更される場合でも、ロールの ID は変わりません。スクリプトまたはオートメーションを使用してロールの割り当てを作成する場合は、ロール名ではなく一意のロール ID を使用するのがベストプラクティスです。そうすれば、ロールの名前が変更されても、スクリプトが動作する可能性が高くなります。

カスタムロールを削除するためにロールの割り当てを見つける

カスタムロールを削除する前に、そのカスタムロールを使用するロールの割り当てを削除する必要があります。ロールの割り当てがあるカスタムロールを削除しようとすると、There are existing role assignments referencing role (code: RoleDefinitionHasAssignments) というメッセージが表示されます。

カスタムロールを削除する前にロールの割り当てを見つける手順を次に示します。

カスタムロールの定義を一覧表示します。
[割り当て可能なスコープ] セクションで、管理グループ、サブスクリプション、リソースグループを取得します。
AssignableScopes を反復し、ロールアサインメントを一覧表示します。
カスタムロールを使用するロールの割り当てを削除します。
Microsoft Entra Privileged Identity Management を使用している場合は、対象となるカスタムロールの割り当てを削除します。
カスタムロールを削除します。

使用されていないカスタムロールを見つける方法については、「現象 - 追加のロール定義を作成できない」を参照してください。

カスタムロールの制限事項

次の一覧では、カスタムロールの制限事項について説明します。

各テナントは、最大 5,000 個のカスタムロールを持つことができます。
21Vianet が運営する Microsoft Azure では、テナントごとに最大 2,000 個のカスタムロールを設定できます。
ルートスコープ ("/") には AssignableScopes を設定できません。
AssignableScopes にワイルドカード (*) を使用することはできません。このワイルドカード制限は、ロール定義を更新することで、ユーザーがスコープにアクセスできないようにするのに役立ちます。
アクション文字列には、ワイルドカードを 1 つだけ含めることができます。
カスタムロールの AssignableScopes に定義できる管理グループは 1 つだけです。
ロールの定義の AssignableScopes に管理グループが存在するかどうかは、Azure Resource Manager では検証しません。
DataActions が含まれるカスタムロールを管理グループのスコープで割り当てることはできません。
DataActions を指定し、かつ AssignableScopes で 1 つの管理グループを指定したカスタムロールを作成できます。管理グループスコープ自体でこのカスタムロールを割り当てることはできません。ただし、管理グループ内のサブスクリプションのスコープでそのカスタムロールを割り当てることができます。これは、サブスクリプションごとに個別のカスタムロールを作成する代わりに、複数のサブスクリプションに割り当てる必要がある、DataActions を指定した 1 つのカスタムロールを作成する必要がある場合に役立ちます。

カスタム役割と管理グループの詳細については、「Azure 管理グループとは」を参照してください。

入力形式と出力形式

コマンドラインを使用してカスタムロールを作成するには、通常、JSON を使用してカスタムロールに対して必要なプロパティを指定します。使用するツールによっては、入力と出力の形式が若干異なります。このセクションでは、ツールに応じて入力と出力の形式を示します。

Azure PowerShell

Azure PowerShell を使用してカスタムロールを作成するには、次の入力を指定する必要があります。

{
  "Name": "",
  "Description": "",
  "Actions": [],
  "NotActions": [],
  "DataActions": [],
  "NotDataActions": [],
  "AssignableScopes": []
}

Azure PowerShell を使用してカスタムロールを更新するには、次の入力を指定する必要があります。 Id プロパティが追加されていることに注意してください。

{
  "Name": "",
  "Id": "",
  "Description": "",
  "Actions": [],
  "NotActions": [],
  "DataActions": [],
  "NotDataActions": [],
  "AssignableScopes": []
}

Azure PowerShell と ConvertTo-Json コマンドを使用してカスタムロールを一覧表示する場合の出力の例を次に示します。

{
  "Name": "",
  "Id": "",
  "IsCustom": true,
  "Description": "",
  "Actions": [],
  "NotActions": [],
  "DataActions": [],
  "NotDataActions": [],
  "AssignableScopes": []
}

Azure CLI

Azure CLI を使用してカスタムロールを作成または更新するには、次の入力を指定する必要があります。この形式は、Azure PowerShell を使用してカスタムロールを作成する場合と同じ形式です。

{
  "Name": "",
  "Description": "",
  "Actions": [],
  "NotActions": [],
  "DataActions": [],
  "NotDataActions": [],
  "AssignableScopes": []
}

Azure CLI を使用してカスタムロールを一覧表示する場合の出力の例を次に示します。

[
  {
    "assignableScopes": [],
    "description": "",
    "id": "",
    "name": "",
    "permissions": [
      {
        "actions": [],
        "dataActions": [],
        "notActions": [],
        "notDataActions": []
      }
    ],
    "roleName": "",
    "roleType": "CustomRole",
    "type": "Microsoft.Authorization/roleDefinitions"
  }
]

REST API

REST API を使用してカスタムロールを作成または更新するには、次の入力を指定する必要があります。この形式は、Azure portal を使用してカスタムロールを作成したときに生成される形式と同じです。

{
  "properties": {
    "roleName": "",
    "description": "",
    "assignableScopes": [],
    "permissions": [
      {
        "actions": [],
        "notActions": [],
        "dataActions": [],
        "notDataActions": []
      }
    ]
  }
}

REST API を使用してカスタムロールを一覧表示する場合の出力の例を次に示します。

{
    "properties": {
        "roleName": "",
        "type": "CustomRole",
        "description": "",
        "assignableScopes": [],
        "permissions": [
            {
                "actions": [],
                "notActions": [],
                "dataActions": [],
                "notDataActions": []
            }
        ],
        "createdOn": "",
        "updatedOn": "",
        "createdBy": "",
        "updatedBy": ""
    },
    "id": "",
    "type": "Microsoft.Authorization/roleDefinitions",
    "name": ""
}

次の方法で共有

Azure カスタムロール

カスタムロールの作成手順

必要なアクセス許可を特定する方法

カスタムロールの例

カスタムロールのプロパティ

ワイルドカードのアクセス許可

カスタムロールを作成、削除、更新、または表示できるユーザー

カスタムロールを削除するためにロールの割り当てを見つける

カスタムロールの制限事項

入力形式と出力形式

Azure PowerShell

Azure CLI

REST API

次のステップ

フィードバック

その他のリソース

次の方法で共有

Azure カスタム ロール

カスタム ロールの作成手順

必要なアクセス許可を特定する方法

カスタム ロールの例

カスタム ロールのプロパティ

ワイルドカードのアクセス許可

カスタム ロールを作成、削除、更新、または表示できるユーザー

カスタム ロールを削除するためにロールの割り当てを見つける

カスタム ロールの制限事項

入力形式と出力形式

Azure PowerShell

Azure CLI

REST API

次のステップ

フィードバック

その他のリソース

Azure カスタムロール

カスタムロールの作成手順

カスタムロールの例

カスタムロールのプロパティ

カスタムロールを作成、削除、更新、または表示できるユーザー

カスタムロールを削除するためにロールの割り当てを見つける

カスタムロールの制限事項