Privileged Identity Management で自分の Azure リソース ロールをアクティブ化する

Azure リソース ロールを引き受ける必要がある場合は、Privileged Identity Management の [自分のロール] ナビゲーション オプションを使用してアクティブ化を要求できます。

1. Microsoft Entra 管理センターに特権ロール管理者以上としてサインインします。

2. [Identity governance] (ID ガバナンス)>[Privileged Identity Management]>[My roles] (自分のロール) の順に移動します。

   

3. [Azure リソース ロール] を選択して、適格な Azure リソース ロールの一覧を表示します。

   

4. [Azure リソース ロール] の一覧で、アクティブにするロールを見つけます。

   

5. [アクティブ化] を選択して、[アクティブ化] ページを開きます。

   

6. ロールで多要素認証が必要な場合は、[続行する前に ID を確認してください] を選びます。 認証は、セッションごとに 1 回だけ行う必要があります。

7. [ID を確認] を選択し、指示に従って追加のセキュリティ確認を提供します。

   

8. より狭いスコープを指定する場合は、 [Scope](スコープ) を選択して [リソース フィルター] ウィンドウを開きます。

   ベスト プラクティスは、必要なリソースへのアクセスのみを要求することです。 [リソース フィルター] ウィンドウでは、アクセスする必要があるリソース グループまたはリソースを指定できます。

   

9. 必要に応じて、カスタムのアクティブ化開始時刻を指定します。 メンバーは、選択した時刻になるとアクティブになります。

10. [理由] ボックスに、アクティブ化要求の理由を入力します。

11. [アクティブ化] を選びます。

    Note

    アクティブ化に承認が必要なロールの場合は、ブラウザーの右上隅に通知が表示され、承認待ちになっていることが示されます。

Privileged Identity Management では、PIM ARM API リファレンスに関するページに記載のとおり、Azure リソース ロールの管理で、Azure Resource Manager (ARM) API コマンドをサポートしています。 PIM API の使用に必要なアクセス許可については、「Privileged Identity Management API について理解する」を参照してください。

対象となる Azure ロールの割り当てをアクティブ化し、アクティブ化されたアクセス権を取得するには、ロールの割り当てスケジュールの要求 - REST API の作成を使用して新しい要求を作成し、セキュリティ プリンシパル、ロール定義、requestType = SelfActivate、およびスコープを指定します。 この API を呼び出すには、スコープに対して対象となるロールの割り当てが必要です。

GUID ツールを使用し、ロール割り当て識別子に使用する一意の識別子を生成します。 この識別子の形式は次のようになります: 00000000-0000-0000-0000-000000000000。

以下の PUT 要求の {roleAssignmentScheduleRequestName} を、ロール割り当ての GUID 識別子に置き換えます。

Azure リソースの対象となるロールの管理の詳細については、こちらの「PIM ARM API チュートリアル」を参照してください。

資格のある Azure ロールの割り当てをアクティブ化する HTTP 要求のサンプルを次に示します。

Request

PUT https://management.azure.com/providers/Microsoft.Subscription/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/providers/Microsoft.Authorization/roleAssignmentScheduleRequests/{roleAssignmentScheduleRequestName}?api-version=2020-10-01

要求本文

{ 
"properties": { 
  "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222", 
  "roleDefinitionId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/providers/Microsoft.Authorization/roleDefinitions/c8d4ff99-41c3-41a8-9f60-21dfdad59608", 
  "requestType": "SelfActivate", 
  "linkedRoleEligibilityScheduleId": "b1477448-2cc6-4ceb-93b4-54a202a89413", 
  "scheduleInfo": { 
      "startDateTime": "2020-09-09T21:35:27.91Z", 
      "expiration": { 
          "type": "AfterDuration", 
          "endDateTime": null, 
          "duration": "PT8H" 
      } 
  }, 
  "condition": "@Resource[Microsoft.Storage/storageAccounts/blobServices/containers:ContainerName] StringEqualsIgnoreCase 'foo_storage_container'", 
  "conditionVersion": "1.0" 
} 
} 

Response

状態コード: 201

保留中のアクティブ化要求の状態を表示することができます。

1. Microsoft Entra Privileged Identity Management を開きます。

2. [My requests] (個人の要求) を選んで、Microsoft Entra ロールおよび Azure リソース ロール要求の一覧を表示します。

   

3. 右へスクロールして [Request Status](要求の状態) 列を表示します。

承認が要求されるロールのアクティブ化を必要としない場合、保留中の要求をいつでもキャンセルできます。

1. Microsoft Entra Privileged Identity Management を開きます。

2. [My requests](個人の要求) を選択します。

3. 取り消すロールの [キャンセル] リンクを選択します。

   When you select Cancel, the request will be canceled. To activate the role again, you will have to submit a new request for activation.
   

   

ロールの割り当てがアクティブになると、PIM ポータルにロールの割り当ての [非アクティブ化] オプションが表示されます。 また、アクティブ化してから 5 分以内にロールの割り当てを非アクティブ化することはできません。

Azure portal でアクティブ化する

Privileged Identity Management ロールのアクティブ化は、Azure portal 内の課金とアクセス制御 (AD) の拡張機能に統合されました。 ユーザーがこれらのブレードから直接 PIM ロールをアクティブ化できるように、サブスクリプション (課金) とアクセス制御 (AD) にショートカットが追加されました。

[サブスクリプション] ブレードで、水平方向のコマンド メニューで [対象となるサブスクリプションの表示] を選択して、対象となるアクティブで期限切れの割り当てを確認します。 そこから、対象となる割り当てを同じペインでアクティブ化できます。

リソースのアクセス制御 (IAM) で、[アクセスの表示] を選択して、現在アクティブで対象となるロールの割り当てを確認し、直接アクティブ化できるようになりました。

この新機能では、さまざまな Azure portal ブレードに PIM 機能を統合することで、サブスクリプションやリソースをより簡単に表示または編集するための一時的なアクセスを取得できます。

Azure mobile app を使用して PIM のロールをアクティブにする

Microsoft Entra ID と Azure リソース ロール モバイル アプリ (iOS と Android の両方) で、PIM を利用できるようになりました。

1. 対象となる Microsoft Entra ロールの割り当てをアクティブにするには、最初に Azure mobile app (iOS | Android) をダウンロードします。 [Privileged Identity Management] > [マイ ロール] > [Microsoft Entra ロール] から [モバイルで開く] を選んで、アプリをダウンロードすることもできます。

   

2. Azure mobile app を開いてサインインします。 [Privileged Identity Management] カードをクリックし、[マイ Azure リソース ロール] を選んで、対象となるアクティブなロールの割り当てを表示します。

   

3. ロールの割り当てを選び、ロールの割り当ての詳細の下にある [アクション] > [アクティブ化] をクリックします。 アクティブにして必要な詳細を入力する手順を完了した後、下部にある [アクティブ化] をクリックします。

   

4. [マイ Azure リソース ロール] の下で、アクティブ化要求の状態とロールの割り当てを確認します。