Azure Managed Applications でジャストインタイムアクセスを有効にして要求する

[アーティクル]
06/01/2023

マネージドアプリケーションのコンシューマーが、マネージドリソースグループへの永続的なアクセスを発行元に許可することに消極的な場合があります。マネージドアプリケーションの発行元としては、管理対象リソースに厳密にいつアクセスする必要があるかをコンシューマーに知らせることが望ましい場合があります。コンシューマーが管理対象リソースへのアクセス権の付与を制御できるようにするため、Azure Managed Applications には、ジャストインタイム (JIT) アクセスと呼ばれる機能が提供されています。 JIT アクセスによって、発行元は、トラブルシューティングやメンテナンスを行うために、マネージドアプリケーションのリソースに対して昇格されたアクセス権を要求することができます。発行元は、リソースへの読み取り専用アクセス権を常に所有していますが、特定の期間にさらに大きなアクセス権を持つことができます。

アクセス権を付与するためのワークフローは次のとおりです。

発行元が、マーケットプレースにマネージドアプリケーションを追加し、JIT アクセスを使用できることを指定します。
デプロイ時に、コンシューマーが、マネージドアプリケーションのインスタンスに対する JIT アクセスを有効にします。
デプロイ後に、コンシューマーは、JIT アクセスの設定を変更できます。
発行元が、マネージドリソースのトラブルシューティングや更新が必要なときに、アクセス要求を送信します。
コンシューマーが、要求を承認します。

この記事では、JIT アクセスを有効にし、要求を送信するために発行元が行う操作について説明します。 JIT アクセス要求の承認については、Azure Managed Applications でのジャストインタイムアクセスの承認に関する記事を参照してください。

JIT アクセス手順を UI に追加する

CreateUiDefinition.json ファイルに、コンシューマーが JIT アクセスを有効にできる手順を含めます。オファリングで JIT 機能をサポートするには、CreateUiDefinition.json ファイルに次の内容を追加します。

"steps" に:

{
    "name": "jitConfiguration",
    "label": "JIT Configuration",
    "subLabel": {
        "preValidation": "Configure JIT settings for your application",
        "postValidation": "Done"
    },
    "bladeTitle": "JIT Configuration",
    "elements": [
        {
          "name": "jitConfigurationControl",
          "type": "Microsoft.Solutions.JitConfigurator",
          "label": "JIT Configuration"
        }
    ]
}

"outputs" に:

"jitAccessPolicy": "[steps('jitConfiguration').jitConfigurationControl]"

JIT アクセスを有効化する

パートナーセンターでオファーを作成するとき、JIT アクセスを必ず有効にしてください。

パートナーセンターのコマーシャルマーケットプレースポータルにサインインします。
新しいマネージドアプリケーションを作成する方法については、「Azure アプリケーションオファーを作成する」の手順に従ってください。
技術的な構成ページで、 [ジャストインタイム (JIT) アクセスを有効にする] チェックボックスを選択します。

JIT 構成手順が UI に追加され、コマーシャルマーケットプレースのオファリングで JIT アクセスが有効になっています。コンシューマーは、マネージドアプリケーションをデプロイするときに、インスタンスに対する JIT アクセスをオンにすることができます。

アクセスの要求

発行元は、コンシューマーの管理対象リソースにアクセスする必要があるときに、特定のロール、時刻、期間の要求を送信します。コンシューマーは、その要求を承認する必要があります。

JIT アクセス要求を送信するには:

アクセスする必要があるマネージドアプリケーションで [JIT アクセス] を選択します。
[資格のあるロール] を選択し、目的のロールの [アクション] 列で [アクティブ化] を選択します。
[ロールのアクティブ化] フォームで、ロールをアクティブにする開始時刻と期間を選択します。 [アクティブ化] を選択して要求を送信します。
新しい JIT 要求がコンシューマーに正常に送信されたことを示す通知を表示して確認します。

これで、コンシューマーが要求が承認するまで待機する必要があります。
マネージドアプリケーションのすべての JIT 要求の状態を表示するには、 [JIT アクセス] と [要求履歴] を選択します。

既知の問題

マネージドアプリケーション定義の中に、JIT アクセスを要求するアカウントのプリンシパル ID を明示的に含める必要があります。パッケージに指定されるグループを介してのみアカウントを含めることはできません。この制限は、今後のリリースで解消される予定です。

次のステップ

JIT アクセス要求の承認については、Azure Managed Applications でのジャストインタイムアクセスの承認に関する記事を参照してください。

Azure Managed Applications でジャストインタイム アクセスを有効にして要求する