Azure サブスクリプションを別の Microsoft Entra ディレクトリに移転する

[アーティクル]
06/16/2024

組織には複数の Azure サブスクリプションがある場合があります。各サブスクリプションは特定の Microsoft Entra ディレクトリと関連付けられています。管理を容易にするために、サブスクリプションを別の Microsoft Entra ディレクトリに移転することが必要になる場合があります。サブスクリプションを別の Microsoft Entra ディレクトリに移転する場合、一部のリソースはターゲットディレクトリに移転されません。たとえば、Azure のロールベースのアクセス制御 (Azure RBAC) でのすべてのロールの割り当てとカスタムロールは、ソースディレクトリからは完全に削除され、ターゲットディレクトリには移転されません。

この記事では、サブスクリプションを別の Microsoft Entra ディレクトリに移転し、移転後にいくつかのリソースを再作成するために実行できる基本的な手順について説明します。

代わりに、ご自身の組織内のさまざまなディレクトリに対するサブスクリプションの転送をブロックする必要がある場合は、サブスクリプションポリシーを構成できます。詳細については、「Azure サブスクリプションのポリシーを管理する」を参照してください。

Note

Azure クラウドソリューションプロバイダー (CSP) のサブスクリプションでは、サブスクリプションに対する Microsoft Entra ディレクトリの変更はサポートされていません。

概要

別の Microsoft Entra ディレクトリへの Azure サブスクリプションの移転は、慎重に計画して実行する必要がある複雑なプロセスです。多くの Azure サービスでは、セキュリティプリンシパル (ID) が通常どおりに動作するか、他の Azure リソースを管理する必要があります。この記事では、セキュリティプリンシパルに大きく依存する Azure サービスのほとんどについて説明しますが、これは包括的なものではありません。

重要

一部のシナリオでサブスクリプションを移転する場合、プロセスの完了にダウンタイムが必要なことがあります。自分の移転でダウンタイムが必要になるかどうかを評価するには、慎重に計画する必要があります。

次の図では、サブスクリプションを別のディレクトリに移転するときに従う必要がある基本的な手順を示します。

移転を準備する
Azure サブスクリプションを別のディレクトリに移転する
ロールの割り当て、カスタムロール、マネージド ID などのリソースをターゲットディレクトリで再作成する

サブスクリプションを別のディレクトリに移転するかどうかを決定する

サブスクリプションを移転する理由には、次のようなものがあります。

会社の合併や買収のため、取得したサブスクリプションをプライマリ Microsoft Entra ディレクトリで管理する必要があります。
組織内のだれかが作成したサブスクリプションの管理を、特定の Microsoft Entra ディレクトリに統合する必要があります。
特定のサブスクリプション ID または URL に依存するアプリケーションがあり、アプリケーションの構成やコードを簡単に変更することができません。
ビジネスの一部が別の会社に分割され、一部のリソースを別の Microsoft Entra ディレクトリに移動する必要があります。
セキュリティを分離するため、リソースの一部を別の Microsoft Entra ディレクトリで管理する必要があります。

別のアプローチ

サブスクリプションを移転するには、プロセスを完了するためにダウンタイムが必要です。シナリオによっては、次の代替方法を検討できます。

リソースを再作成し、ターゲットディレクトリおよびサブスクリプションにデータをコピーする。
マルチディレクトリアーキテクチャを採用し、サブスクリプションをソースディレクトリに残す。ターゲットディレクトリのユーザーがソースディレクトリ内のサブスクリプションにアクセスできるように、Azure Lighthouse を使用してリソースを委任します。詳しくは、「エンタープライズシナリオにおける Azure Lighthouse」をご覧ください。

サブスクリプションの移転による影響を把握する

いくつかの Azure リソースは、サブスクリプションまたはディレクトリに依存しています。次の表では、状況に応じたサブスクリプションの移転による既知の影響を示します。この記事の手順を実行することで、サブスクリプションの移転前に存在していたリソースの一部を再作成できます。

重要

このセクションでは、サブスクリプションに依存する既知の Azure サービスまたはリソースの一覧を示します。 Azure のリソースの種類は絶えず進化しているため、ここに記載されていない追加の依存関係で、環境の破壊的変更の原因になるものがある可能性があります。

サービスまたはリソース	影響を受ける	回復可能	影響を受けますか?	実行可能な操作
ロールの割り当て	はい	はい	ロールの割り当てを一覧表示する	すべてのロールの割り当ては完全に削除されます。ユーザー、グループ、サービスプリンシパルを、ターゲットディレクトリ内の対応するオブジェクトにマップする必要があります。ロールの割り当てを再作成する必要があります。
カスタムロール	はい	はい	カスタムロールを一覧表示する	すべてのカスタムロールは完全に削除されます。カスタムロールとロールの割り当てを再作成する必要があります。
システム割り当てのマネージド ID	はい	はい	マネージド ID を一覧表示する	マネージド ID を無効にして、再度有効にする必要があります。ロールの割り当てを再作成する必要があります。
ユーザー割り当て済みマネージド ID	はい	はい	マネージド ID を一覧表示する	マネージド ID を削除して再作成し、適切なリソースにアタッチする必要があります。ロールの割り当てを再作成する必要があります。
Azure Key Vault	はい	はい	Key Vault アクセスポリシーを一覧表示する	キーコンテナーに関連付けられているテナント ID を更新する必要があります。アクセスポリシーを削除して、新しく追加する必要があります。
Microsoft Entra 認証の統合が有効になってた Azure SQL データベース	はい	いいえ	Azure SQL データベースと Microsoft Entra 認証を確認する	Microsoft Entra 認証が有効になっている Azure SQL データベースを別のディレクトリに転送することはできません。詳細については、「Microsoft Entra 認証を使用する」を参照してください。
Microsoft Entra 認証の統合が有効になった Azure Database for MySQL	はい	いいえ		Microsoft Entra 認証が有効になっている Azure Database for MySQL (単一およびフレキシブルサーバー) を別のディレクトリに転送することはできません。
Microsoft Entra 認証の統合が有効になっているか、カスタマーマネージドキーが有効になっている Azure Database for PostgreSQL フレキシブルサーバー	はい	いいえ		Microsoft Entra 認証またはカスタマーマネージドキーが有効になっている Azure Database for PostgreSQL を別のディレクトリに転送することはできません。まずこれらの機能を無効にして、サーバーを転送してから、これらの機能を再度有効にする必要があります。
Azure Storage と Azure Data Lake Storage Gen2	はい	はい		すべての ACL を再作成する必要があります。
Azure Files	はい	ほとんどのシナリオにおいて		すべての ACL を再作成する必要があります。 Entra Kerberos 認証が有効になっているストレージアカウントに関しては、転送後に Entra Kerberos 認証を無効にして再度有効にする必要があります。 Entra Domain Services に関しては、Entra Domain Services が有効になっていない別の Microsoft Entra ディレクトリへの転送はサポートされていません。
Azure File Sync	はい	はい		ストレージ同期サービスやストレージアカウントは、別のディレクトリに移動できます。詳細については、「Azure Files についてよく寄せられる質問 (FAQ)」を参照してください。
Azure Managed Disks	はい	はい		ディスク暗号化セットを使用して、カスタマーマネージドキーで Managed Disks を暗号化する場合は、ディスク暗号化セットに関連付けられているシステム割り当て ID を無効にしてから、再度有効にする必要があります。また、ロールの割り当てを再作成する必要があります。つまり、Key Vault 内にあるディスク暗号化セットに対し、必要なアクセス許可を再度付与します。
Azure Kubernetes Service	はい	いいえ		AKS クラスターとそれに関連付けられているリソースを別のディレクトリに転送することはできません。詳細については、「Azure Kubernetes Service (AKS) についてよく寄せられる質問」を参照してください。
Azure Policy	はい	いいえ	カスタム定義、割り当て、除外、コンプライアンスデータなど、すべての Azure Policy オブジェクト。	定義をエクスポート、インポート、および再割り当てする必要があります。次に、新しいポリシー割り当てと、必要なポリシーの除外を作成します。
Microsoft Entra Domain Services	はい	いいえ		Microsoft Entra Domain Services のマネージドドメインを別のディレクトリに転送することはできません。詳細については、Microsoft Entra Domain Services に関してよくあるご質問 (FAQ) についてのページを参照してください
アプリの登録	はい	はい
Microsoft Dev Box	はい	いいえ		開発ボックスとそれに関連付けられているリソースを別のディレクトリに転送することはできません。サブスクリプションを別のテナントに移行した後は、開発ボックスに対するアクションを実行できなくなります
Azure Deployment Environments	はい	いいえ		環境とそれに関連付けられているリソースを別のディレクトリに転送することはできません。サブスクリプションを別のテナントに移行した後は、環境に対するアクションを実行できなくなります
Azure Service Fabric	はい	いいえ		クラスターを再作成する必要があります。詳細については、SF クラスターの FAQ に関するページまたは SF マネージドクラスターの FAQ に関するページを参照してください
Azure Service Bus	はい	はい		マネージド ID を削除して再作成し、適切なリソースにアタッチする必要があります。ロールの割り当てを再作成する必要があります。
Azure Synapse Analytics ワークスペース	はい	はい		Synapse Analytics ワークスペースに関連付けられているテナント ID を更新する必要があります。ワークスペースが Git リポジトリに関連付けられている場合、ワークスペースの Git 構成を更新する必要があります。詳細については、「サブスクリプションを別の Microsoft Entra ディレクトリ (テナント) に移転した後の Synapse Analytics ワークスペースの回復」を参照してください。
Azure Databricks	はい	いいえ		現在、Azure Databricks では、新しいテナントへのワークスペースの移動はサポートされていません。詳細については、「Azure Databricks アカウントを管理する」を参照してください。
Azure Compute Gallery	はい	はい		ギャラリー内のイメージバージョンを他のリージョンにレプリケートするか、別のギャラリーからイメージをコピーします。

警告

ストレージアカウントや SQL データベースなどのリソースに対して保存時の暗号化を使用していて、それが移転されているキーコンテナーに対する依存関係を持つ場合、復旧不可能なシナリオが発生する可能性があります。このような状況が発生した場合は、別のキーコンテナーを使用するか、ユーザーが管理するキーを一時的に無効にして、この復旧不可能なシナリオを回避する必要があります。

サブスクリプションを譲渡するとき、影響を受ける一部の Azure リソースの一覧を取得するには、Azure Resource Graph でクエリを実行することもできます。サンプルクエリについては、Azure サブスクリプションの譲渡時に影響を受けるリソースの一覧に関するページを参照してください。

前提条件

これらの手順を完了するには、以下が必要です。

Azure Cloud Shell の Bash または Azure CLI
ソースディレクトリ内で移動させるサブスクリプションの課金アカウントオーナー
ディレクトリを変更するユーザーのソースディレクトリおよびターゲットディレクトリ内のユーザーアカウント

手順 1: 移転を準備する

管理者として Azure にサインインします。
az account list コマンドを使用して、サブスクリプションの一覧を取得します。
```
az account list --output table
```
az account set を使用して、移転するアクティブなサブスクリプションを設定します。
```
az account set --subscription "Marketing"
```

Azure Resource Graph 拡張機能をインストールする

Azure Resource Graph の Azure CLI 拡張機能である resource-graph を使用すると、az graph コマンドを使用して、Azure Resource Manager によって管理されているリソースを照会できます。このコマンドは、後の手順で使用します。

az extension list を使用して、resource-graph 拡張機能がインストールされているかどうかを確認します。
```
az extension list
```
プレビューバージョンまたは古いバージョンの resource-graph 拡張機能を使用している場合は、az extension update を使用してこの拡張機能を更新します。
```
az extension update --name resource-graph
```
resource-graph 拡張機能がインストールされていない場合は、az extension add を使用してこの拡張機能をインストールします。
```
az extension add --name resource-graph
```

すべてのロールの割り当てを保存する

az role assignment list を使用して、すべてのロールの割り当ての一覧を表示します (継承されたロールの割り当てを含む)。

一覧を簡単に確認できるように、出力を JSON、TSV、またはテーブルとしてエクスポートできます。詳細については、「Azure RBAC と Azure CLI を使用してロールの割り当てを一覧表示する」を参照してください。
```
az role assignment list --all --include-inherited --output json > roleassignments.json
az role assignment list --all --include-inherited --output tsv > roleassignments.tsv
az role assignment list --all --include-inherited --output table > roleassignments.txt
```
ロールの割り当ての一覧を保存します。

サブスクリプションを移転すると、すべてのロールの割り当てが完全に削除されます。そのため、コピーを保存しておくことが重要です。
ロールの割り当ての一覧を確認します。ターゲットディレクトリに必要のないロールの割り当てが存在する可能性があります。

カスタムロールを保存する

カスタムロールの一覧を表示するには、az role definition list を使用します。詳細については、「Azure CLIを使用して Azure カスタムロールを作成または更新する」を参照してください。
```
az role definition list --custom-role-only true --output json --query '[].{roleName:roleName, roleType:roleType}'
```
ターゲットディレクトリに必要な各カスタムロールを、別の JSON ファイルとして保存します。
```
az role definition list --name <custom_role_name> > customrolename.json
```
カスタムロールファイルのコピーを作成します。
次の形式を使用するように各コピーを変更します。

後でこれらのファイルを使用して、ターゲットディレクトリにカスタムロールを再作成します。
```
{
  "Name": "",
  "Description": "",
  "Actions": [],
  "NotActions": [],
  "DataActions": [],
  "NotDataActions": [],
  "AssignableScopes": []
}
```

ユーザー、グループ、サービスプリンシパルのマッピングを決定する

ロールの割り当ての一覧に基づいて、ターゲットディレクトリでマップするユーザー、グループ、サービスプリンシパルを決定します。

各ロールの割り当ての principalType プロパティを参照することで、プリンシパルの種類を特定できます。
必要に応じて、ターゲットディレクトリに、必要なユーザー、グループ、またはサービスプリンシパルを作成します。

マネージド ID のロールの割り当ての一覧を表示する

サブスクリプションを別のディレクトリに移転したとき、マネージド ID は更新されません。その結果、既存のシステム割り当てマネージド ID やユーザー割り当てマネージド ID は破損します。移転後、システム割り当てマネージド ID を再び有効にすることができます。ユーザー割り当てマネージド ID の場合は、ターゲットディレクトリで再作成してアタッチする必要があります。

マネージド ID がサポートされている Azure サービスの一覧を確認して、マネージド ID を使用している可能性がある場所を記録します。
システム割り当てとユーザー割り当てのマネージド ID の一覧を表示するには、az ad sp list を使用します。
```
az ad sp list --all --filter "servicePrincipalType eq 'ManagedIdentity'"
```

マネージド ID の一覧で、システム割り当てのものとユーザー割り当てのものを特定します。次の条件を使用して、種類を特定できます。

基準	マネージド ID の種類
`alternativeNames` プロパティに `isExplicit=False` が含まれる	システム割り当て
`alternativeNames` プロパティに `isExplicit` が含まれない	システム割り当て
`alternativeNames` プロパティに `isExplicit=True` が含まれる	ユーザー割り当て

また、az identity list コマンドを使用して、ユーザー割り当てマネージド ID だけの一覧を表示することもできます。詳細については、「Azure CLI を使用してユーザー割り当てマネージド ID を作成、一覧表示、または削除する」を参照してください。

az identity list

マネージド ID の objectId 値の一覧を取得します。
ロールの割り当ての一覧を検索して、マネージド ID に対するロールの割り当てがあるかどうかを確認します。

Key Vault のリスト

キーコンテナーを作成すると、それが作成されたサブスクリプションの既定の Microsoft Entra テナント ID に自動的に関連付けられます。また、すべてのアクセスポリシーエントリがこのテナント ID に関連付けられます。詳細については、「Azure Key Vault を別のサブスクリプションに移動する」を参照してください。

警告

キーコンテナーがある場合は、az keyvault show を使用してアクセスポリシーの一覧を表示します。詳細については、キーコンテナーへのアクセスポリシーの割り当てに関するページを参照してください。
```
az keyvault show --name MyKeyVault
```

Azure SQL データベースと Microsoft Entra 認証を一覧表示する

Microsoft Entra 認証の統合が有効になっている Azure SQL データベースを使用しているかどうかを確認するには、az sql server ad-admin list と az graph 拡張機能を使用します。詳細については、SQL による Microsoft Entra 認証の構成と管理に関する説明を参照してください。
```
az sql server ad-admin list --ids $(az graph query -q "resources | where type == 'microsoft.sql/servers' | project id" --query data[*].[id] -o tsv)
```

ACL の一覧を表示する

Azure Data Lake Storage Gen2 を使用している場合は、Azure portal または PowerShell を使用して、ファイルに適用されている ACL の一覧を表示します。
Azure Files を使用している場合は、ファイルに適用されている ACL の一覧を表示します。

他の既知のリソースの一覧を表示する

az account show を使用して、サブスクリプション IDを取得します (bash 内)。
```
subscriptionId=$(az account show --output tsv --query id)
```

az graph 拡張機能を使用して、Microsoft Entra ディレクトリの既知の依存関係がある他の Azure リソースの一覧を表示します (bash 内)。

az graph query -q 'resources 
    | where type != "microsoft.azureactivedirectory/b2cdirectories" 
    | where  identity <> "" or properties.tenantId <> "" or properties.encryptionSettingsCollection.enabled == true 
    | project name, type, kind, identity, tenantId, properties.tenantId' --subscriptions $subscriptionId --output yaml

手順 2: サブスクリプションを移転する

この手順では、サブスクリプションを、ソースディレクトリからターゲットディレクトリに移転します。この手順は、課金所有権も移転するかどうかによって変わります。

警告

サブスクリプションを移転すると、ソースディレクトリ内のすべてのロールの割り当てが完全に削除されて復元できなくなります。サブスクリプションの移転は、元に戻すことはできません。このステップを実行する前に、これまでの手順を完了していることを確認してください。

課金所有権も別のアカウントに移転するかどうかを決定します。
サブスクリプションを別のディレクトリに移転します。
- 現在の課金所有権を維持する場合は、「Microsoft Entra テナントに、Azure サブスクリプションを関連付ける、または追加する」の手順に従ってください。
- 課金所有権も移転する場合は、「Azure サブスクリプションの課金所有権を別のアカウントに譲渡する」の手順に従ってください。サブスクリプションを別のディレクトリに移転するには、[サブスクリプション Microsoft Entra テナント] チェックボックスをオンにする必要があります。
サブスクリプションの移転が完了したら、この記事に戻り、ターゲットディレクトリにリソースを再作成します。

手順 3: リソースを再作成する

ターゲットディレクトリで、移転要求を受け入れたユーザーとしてサインインします。

移転要求を受け入れた新しいアカウントのユーザーだけが、リソースにアクセスして管理できます。
az account list コマンドを使用して、サブスクリプションの一覧を取得します。
```
az account list --output table
```
az account set を使用して、使用するアクティブなサブスクリプションを設定します。
```
az account set --subscription "Contoso"
```

カスタムロールを作成する

az role definition create を使用して、前に作成したファイルから各カスタムロールを作成します。詳細については、「Azure CLIを使用して Azure カスタムロールを作成または更新する」を参照してください。
```
az role definition create --role-definition <role_definition>
```

ロールの割り当て

az role assignment create を使用して、ユーザー、グループ、サービスプリンシパルにロールを割り当てます。詳細については、「Azure CLI を使用して Azure ロールを割り当てる」を参照してください。
```
az role assignment create --role <role_name_or_id> --assignee <assignee> --scope "/subscriptions/<subscriptionId>/resourceGroups/<resource_group>"
```

システム割り当てのマネージド ID を更新する

システム割り当てのマネージドID を無効にした後、再び有効にします。

Azure サービス	詳細情報
仮想マシン	Azure CLI を使用して Azure VM 上に Azure リソースのマネージド ID を構成する
仮想マシンスケールセット	Azure CLI を使用して仮想マシンスケールセットで Azure リソースのマネージド ID を構成する
その他のサービス	Azure リソースのマネージド ID をサポートするサービス

az role assignment create を使用して、システム割り当てマネージド ID にロールを割り当てます。詳細については、「Azure CLI を使用して、リソースにマネージド ID アクセスを割り当てる」を参照してください。
```
az role assignment create --assignee <objectid> --role '<role_name_or_id>' --scope "/subscriptions/<subscriptionId>/resourceGroups/<resource_group>"
```

ユーザー割り当てのマネージド ID を更新する

ユーザー割り当てのマネージド ID を削除し、再作成して、アタッチします。

Azure サービス	詳細情報
仮想マシン	Azure CLI を使用して Azure VM 上に Azure リソースのマネージド ID を構成する
仮想マシンスケールセット	Azure CLI を使用して仮想マシンスケールセットで Azure リソースのマネージド ID を構成する
その他のサービス	Azure リソースのマネージド ID をサポートするサービス Azure CLI を使用してユーザー割り当てマネージド ID を作成、一覧表示、または削除する

az role assignment create を使用して、ユーザー割り当てマネージド ID にロールを割り当てます。詳細については、「Azure CLI を使用して、リソースにマネージド ID アクセスを割り当てる」を参照してください。
```
az role assignment create --assignee <objectid> --role '<role_name_or_id>' --scope "/subscriptions/<subscriptionId>/resourceGroups/<resource_group>"
```

キーコンテナーを更新する

ここでは、キーコンテナーを更新する基本的な手順について説明します。詳細については、「Azure Key Vault を別のサブスクリプションに移動する」を参照してください。

サブスクリプションで既存のすべてのキーコンテナーに関連付けられているテナント ID を、ターゲットディレクトリに更新します。
すべての既存のアクセスポリシーエントリを削除する。
ターゲットディレクトリに関連付けられた新しいアクセスポリシーエントリを追加します。

ACL を更新する

Azure Data Lake Storage Gen2 を使用している場合は、適切な ACL を割り当てます。詳細については、Azure Data Lake Storage Gen2 でのアクセス制御に関するページを参照してください。
Azure Files を使用している場合は、適切な ACL を割り当てます。

他のセキュリティメソッドを確認する

ロールの割り当ては移転の間に削除されますが、元の所有者アカウントのユーザーが、次のような他のセキュリティメソッドを使用して、引き続きサブスクリプションにアクセスできる場合があります。

Storage などのサービス用のアクセスキー。
サブスクリプションのリソースに対する管理者アクセス権をユーザーに付与する管理証明書。
Azure Virtual Machines などのサービス用のリモートアクセス資格情報。

ソースディレクトリのユーザーがターゲットディレクトリにアクセスできないように、アクセス権を削除する場合は、すべての資格情報のローテーションを検討する必要があります。資格情報が更新されるまで、移転後もユーザーは引き続きアクセスできます。

ストレージアカウントのアクセスキーをローテーションします。詳細については、「ストレージアカウントのアクセスキーの管理」を参照してください。
Azure SQL Database や Azure Service Bus メッセージングなどの他のサービスにアクセスキーを使用している場合は、アクセスキーをローテーションします。
シークレットを使用しているリソースについては、リソースの設定を開き、シークレットを更新します。
証明書を使用しているリソースについては、証明書を更新します。

次の方法で共有

Azure サブスクリプションを別の Microsoft Entra ディレクトリに移転する

概要

サブスクリプションを別のディレクトリに移転するかどうかを決定する

別のアプローチ

サブスクリプションの移転による影響を把握する

前提条件

手順 1: 移転を準備する

Azure Resource Graph 拡張機能をインストールする

すべてのロールの割り当てを保存する

カスタムロールを保存する

ユーザー、グループ、サービスプリンシパルのマッピングを決定する

マネージド ID のロールの割り当ての一覧を表示する

Key Vault のリスト

Azure SQL データベースと Microsoft Entra 認証を一覧表示する

ACL の一覧を表示する

他の既知のリソースの一覧を表示する

手順 2: サブスクリプションを移転する

手順 3: リソースを再作成する

カスタムロールを作成する

ロールの割り当て

システム割り当てのマネージド ID を更新する

ユーザー割り当てのマネージド ID を更新する

キーコンテナーを更新する

ACL を更新する

他のセキュリティメソッドを確認する

次のステップ

フィードバック

その他のリソース

次の方法で共有

Azure サブスクリプションを別の Microsoft Entra ディレクトリに移転する

概要

サブスクリプションを別のディレクトリに移転するかどうかを決定する

別のアプローチ

サブスクリプションの移転による影響を把握する

前提条件

手順 1: 移転を準備する

ソース ディレクトリにサインインする

Azure Resource Graph 拡張機能をインストールする

すべてのロールの割り当てを保存する

カスタムロールを保存する

ユーザー、グループ、サービス プリンシパルのマッピングを決定する

マネージド ID のロールの割り当ての一覧を表示する

Key Vault のリスト

Azure SQL データベースと Microsoft Entra 認証を一覧表示する

ACL の一覧を表示する

他の既知のリソースの一覧を表示する

手順 2: サブスクリプションを移転する

手順 3: リソースを再作成する

ターゲット ディレクトリにサインインする

カスタム ロールを作成する

ロールの割り当て

システム割り当てのマネージド ID を更新する

ユーザー割り当てのマネージド ID を更新する

キー コンテナーを更新する

ACL を更新する

他のセキュリティ メソッドを確認する

次のステップ

フィードバック

その他のリソース

ソースディレクトリにサインインする

ユーザー、グループ、サービスプリンシパルのマッピングを決定する

ターゲットディレクトリにサインインする

カスタムロールを作成する

キーコンテナーを更新する

他のセキュリティメソッドを確認する