Azure リソースをロックしてインフラストラクチャを保護する

[アーティクル]
2025-02-06

管理者であれば、Azure サブスクリプション、リソースグループ、またはリソースをロックして、ユーザーの不注意による削除や変更から保護できます。ロックは、すべてのユーザーアクセス許可をオーバーライドします。

削除または変更のいずれかを防止するロックを設定できます。ポータルでは、これらのロックは [削除] と [読み取り専用] と呼ばれます。コマンドラインでは、これらのロックは CanNotDelete および ReadOnly と呼ばれます。

CanNotDelete は、正規ユーザーはリソースの読み取りと変更を実行できますが、削除ができないことを示します。
ReadOnly は、正規ユーザーはリソースの読み取りを実行できますが、削除または更新ができないことを示します。このロックの適用は、すべての正規ユーザーのアクセス許可を、閲覧者ロールで指定されるアクセス許可に制限することに似ています。

管理ロックを使用すると、ロールベースのアクセス制御 (RBAC) とは異なり、すべてのユーザーとロールに対して制限を適用できます。ユーザーとロールのアクセス許可を設定する方法については、Azure RBAC に関するページを参照してください。

ロックの継承

親スコープでロックを適用すると、そのスコープ内のすべてのリソースは同じロックを継承します。後で追加するリソースも、同じ親ロックを継承します。継承チェーン中で最も制限の厳しいロックが優先されます。

拡張機能リソースは、適用先のリソースからロックを継承します。たとえば、Microsoft.Insights/diagnosticSettings は拡張機能リソースの種類です。診断設定をストレージ BLOB に適用し、ストレージアカウントをロックすると、診断設定を削除できません。診断設定の完全なリソース ID は次のような形式なので、この継承は理にかなっています。

/subscriptions/{sub-id}/resourceGroups/{rg-name}/providers/Microsoft.Storage/storageAccounts/{storage-name}/blobServices/default/providers/microsoft.insights/diagnosticSettings/{setting-name}"

ロックされたリソースのリソース ID は、次の形式と一致する必要があります。

/subscriptions/{sub-id}/resourceGroups/{rg-name}/providers/Microsoft.Storage/storageAccounts/{storage-name}

リソースに削除ロックが設定されている場合、そのリソースグループを削除しようとすると、削除操作全体が機能によりブロックされます。リソースグループまたはリソースグループ内の他のリソースがロック解除された場合でも、削除は行われません。部分的な削除はできません。

Azure サブスクリプションを取り消す場合:

リソースロックによって、サブスクリプションの取り消しはブロックされません。
Azure では、リソースをすぐに削除するのではなく、リソースを非アクティブ化して保持します。
Azure は、待機期間が経過した後にのみ、リソースを完全に削除します。

ロックのスコープについて

Note

ロックは、コントロールプレーンの Azure 操作にのみ適用され、データプレーンの操作には適用されません。

Azure コントロールプレーンの操作は、https://management.azure.com に移動します。 Azure データプレーン操作は、https://myaccount.blob.core.windows.net/ などのサービスインスタンスに移動します。詳細については、「Azure コントロールプレーンとデータプレーン」を参照してください。コントロールプレーンの URL が使用される操作を確認するには、Azure REST API に関するページを参照してください。

この区別は、ロックによりリソースが変更から保護されることを意味しますが、リソースがその機能を実行する方法を制限するものではありません。たとえば、SQL Database 論理サーバーの ReadOnly ロックは、削除または変更されないようサーバーを保護します。これにより、サーバーデータベースのデータを作成、更新、削除できます。データプレーン操作により、データトランザクションが可能になります。これらの要求は https://management.azure.com に移動しません。

ロック適用前の考慮事項

ロックを適用すると、予期しない結果が起こることがあります。リソースを変更しないように見える操作でも、アクションのブロックを必要とするものがあります。ロックにより、POST メソッドで Azure Resource Manager API にデータを送信できなくなります。ブロックされた操作の一般的な例を次に示します。

読み取り専用ロックをストレージアカウントに対して設定すると、ユーザーがアカウントキーを一覧表示できなくなります。 POST 要求は、Azure Storage リストキー操作を処理して、アカウントキーへのアクセスを保護します。アカウントキーは、ストレージアカウント内のデータへの完全なアクセスを提供します。ストレージアカウントに対して読み取り専用ロックが設定されている場合、アカウントキーを持っていないユーザーは、BLOB またはキューデータへのアクセスに Microsoft Entra 資格情報を使用する必要があります。読み取り専用ロックによって、ストレージアカウントまたはデータコンテナー (BLOB コンテナーまたはキュー) にスコープが設定されている Azure RBAC ロールの割り当てもできなくなります。
ストレージアカウントの読み取り専用ロックは、ストレージアカウントまたはデータコンテナー (BLOB コンテナーまたはキュー) を対象にした RBAC の割り当てを保護します。
ストレージアカウントの読み取り専用ロックにより、BLOB コンテナーが作成できなくなります。
ストレージアカウントの読み取り専用ロックにより、BLOB コンテナーが作成できなくなります。ただし、ストレージアカウントに対する作成操作は、コントロールプレーンとデータプレーンの両方を使用して実行できます。読み取り専用ロックでは、コントロールプレーンの作成要求のみがブロックされますが、その場合でも、ユーザーは引き続きデータプレーンを介してリソースに対して有効な作成操作を実行できます。
ストレージアカウントの読み取り専用ロックや削除不可ロックは、そのデータが削除または変更されないよう保護するものではありません。また、BLOB、キュー、テーブル、ファイルのデータも保護されません。
ストレージアカウント API は、データプレーンとコントロールプレーンの操作を公開します。要求でデータプレーン操作が使用されている場合、ストレージアカウントのロックでは、そのストレージアカウント内の BLOB、キュー、テーブル、またはファイルデータは保護されません。しかし、要求でコントロールプレーン操作が使用されている場合、それらのリソースはロックによって保護されます。

たとえば、要求で [ファイル共有] - [削除]、つまりコントロールプレーン操作が使用されている場合、削除は失敗します。要求で [共有の削除]、つまりデータプレーン操作が使用されている場合、削除は成功します。コントロールプレーン操作を使用することをお勧めします。
ネットワークセキュリティグループ (NSG) の読み取り専用ロックを使用すると、対応する NSG フローログを作成できなくなります。 NSG の削除不可ロックは、対応する NSG フローログの作成や変更を妨げるものではありません。
読み取り専用ロックを App Service リソースに設定すると、Visual Studio のサーバーエクスプローラーの操作には書き込みアクセスが必要となるため、Visual Studio のサーバーエクスプローラーはリソース用のファイルを表示できなくなります。
App Service プランを含むリソースグループに対する読み取り専用ロックを設定すると、プランのスケールアップやスケールアウトはできません。
読み取り専用ロックを、仮想マシンを含むリソースグループに設定すると、どのユーザーも仮想マシンを起動したり、再起動したりできなくなります。これらの操作では、POST 要求が必要です。
リソースグループに対する読み取り専用ロックを使用すると、既存のリソースをリソースグループ内またはリソースグループ外に移動できなくなります。ただし、読み取り専用ロックがかかっているリソースを別のリソースグループに移動することはできます。
Automation アカウントを含むリソースグループの読み取り専用ロックでは、すべての Runbook が起動できません。これらの操作では、POST 要求が必要です。
リソースまたはリソースグループのロックを削除できないと、Azure RBAC の割り当てを削除できません。
削除不可ロックをリソースグループに設定すると、Resource Manager が履歴内のデプロイを自動的に削除できなくなります。履歴内のデプロイが 800 に達した場合、デプロイは失敗します。
Azure Backup サービスによって作成されたリソースグループに削除不可ロックがかかっていると、バックアップが失敗します。このサービスでは、最大 18 個の復元ポイントがサポートされています。ロックされている場合、バックアップサービスは復元ポイントをクリーンアップできません。詳細については、「よく寄せられる質問 - Azure VM のバックアップ」を参照してください。
Azure Machine Learning ワークスペースを含むリソースグループに削除不可ロックがかかっていると、Azure Machine Learning コンピューティングクラスターの自動スケーリングが正しく機能しません。このロックを使用すると、自動スケーリングは未使用のノードを削除できません。ソリューションは、ワークロードに必要なリソースよりも多くのリソースを消費します。
Log Analytics ワークスペースの読み取り専用ロックにより、ユーザーとエンティティの動作分析 (UEBA) が有効になりません。
Log Analytics ワークスペースの削除不可ロックでは、データ消去操作を回避できません。代わりに、ユーザーからデータの消去ロールを削除してください。
サブスクリプションに読み取り専用ロックを設定すると、Azure Advisor が正常に機能しなくなります。 Advisor は、クエリの結果を格納できません。
Application Gateway に読み取り専用のロックがかかっていると、アプリケーションゲートウェイのバックエンドのヘルスを取得できません。この操作では POST メソッドを使いますが、読み取り専用ロックによりブロックされます。
Azure Kubernetes Service (AKS) クラスターの読み取り専用ロックでは、ポータルを介してクラスターリソースにアクセスする方法が制限されます。読み取り専用ロックにより、Azure portal で AKS クラスターの Kubernetes リソースセクションを使って、クラスターリソースを選択できなくなります。これらの操作には、認証のための POST メソッド要求が必要です。
Site Recovery によって保護されている仮想マシンに削除不可ロックがかかっていると、保護の解除や、レプリケーションの無効化を行っても、Site Recovery に関連する特定のリソースリンクを適切に削除できません。後で仮想マシンを再度保護する予定の場合は、保護を無効にする前にロックを解除してください。ロックを解除しない場合、仮想マシンを保護するには、特定の手順に従って古いリンクを事前にクリーンアップする必要があります。詳細については、「Azure 間の VM レプリケーションエラーのトラブルシューティング」を参照してください。
PostgreSQL に関しては、仮想ネットワークで仮想ネットワークレベルまたはサブネットレベルのリソースロックを設定しないでください。ロックはネットワークとドメインネームシステムの操作に干渉する可能性があるためです。仮想ネットワーク内にサーバーを作成する前に、必ず仮想ネットワークとすべてのサブネットから削除または読み取り専用ロックを削除してください。これらのロックはサーバーの作成後に再適用できます。

誰がロックを作成または削除できるか

管理ロックを作成または削除するには、Microsoft.Authorization/* または Microsoft.Authorization/locks/* アクションにアクセスする必要があります。 所有者とユーザーアクセス管理者ロールに割り当てられているユーザーには、必要なアクセス権があります。一部の特殊な組み込みロールにも、このアクセスが許可されます。必要な権限を含むカスタムロールを作成することができます。

マネージドアプリケーションとロック

一部の Azure サービスではマネージドアプリケーションを使用してサービスが実装されています。Azure Databricks はその一例です。その場合、サービスで 2 つのリソースグループが作成されます。 1 つは、サービスの概要を含むロック解除されたリソースグループです。もう 1 つは、サービスのインフラストラクチャを含むロックされたリソースグループです。

インフラストラクチャのリソースグループを削除しようとすると、リソースグループがロックされていることを示すエラーが表示されます。インフラストラクチャのリソースグループのロックを削除しようとすると、システムアプリケーションによって所有されているためロックを削除できないことを示すエラーが表示されます。

代わりに、サービスを削除すると、インフラストラクチャのリソースグループも削除されます。

マネージドアプリケーションには、デプロイしたサービスを選びます。

Azure Databricks のインスタンスが選択されている Azure portal のスクリーンショット。

サービスにマネージドリソースグループへのリンクが含まれることに注意してください。そのリソースグループがインフラストラクチャを保持しており、ロックされています。この場合、間接的にしか削除できません。

Azure portal の管理対象リソースグループリンクを示すスクリーンショット。

ロックされているインフラストラクチャリソースグループを含め、サービスのすべてのものを削除するには、サービスの [削除] を選びます。

選択されているサービスを削除するオプションを示す Azure portal のスクリーンショット。

ロックの構成

Azure portal

左側のナビゲーションパネルでは、サブスクリプションロック機能の名前は [リソースロック] で、リソースグループロック機能の名前は [ロック] です。

ロックを適用するリソース、リソースグループ、またはサブスクリプションの [設定] ブレードで、 [ロック]を選択します。

Note

管理グループにロックを追加することはできません。
ロックを追加するには、[追加] を選択します。親レベルでロックを作成する場合は、親を選択します。現在選択されているリソースは、ロックを親から継承します。たとえば、リソースグループをロックすることで、グループのリソースすべてにロックを適用することができます。
ロックに名前とロックレベルを指定します。必要に応じて、ロックについて説明したメモを追加することができます。
ロックを削除するには、 [削除] ボタンを選択します。

Template

Resource Manager テンプレート (ARM テンプレート) または Bicep ファイルを使ってロックを配置するときは、デプロイスコープとロックスコープがどのように連携するかを理解しておく必要があります。リソースグループやサブスクリプションをロックするときなど、デプロイスコープでロックを適用する場合は、スコーププロパティを設定しないでください。配置スコープ内のリソースをロックするときは、ロックのスコーププロパティを設定します。

次のテンプレートは、リソースグループにロックを適用します。ロックスコープがデプロイスコープと一致するため、ロックリソースにスコーププロパティがないことに注意してください。このテンプレートを、リソースグループレベルでデプロイします。

JSON
Bicep

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
  },
  "resources": [
    {
      "type": "Microsoft.Authorization/locks",
      "apiVersion": "2016-09-01",
      "name": "rgLock",
      "properties": {
        "level": "CanNotDelete",
        "notes": "Resource group should not be deleted."
      }
    }
  ]
}

resource createRgLock 'Microsoft.Authorization/locks@2016-09-01' = {
  name: 'rgLock'
  properties: {
    level: 'CanNotDelete'
    notes: 'Resource group should not be deleted.'
  }
}

リソースグループを作成してロックするには、サブスクリプションレベルで前記のテンプレートを配置します。

JSON
Bicep

{
  "$schema": "https://schema.management.azure.com/schemas/2018-05-01/subscriptionDeploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "rgName": {
      "type": "string"
    },
    "rgLocation": {
      "type": "string"
    }
  },
  "variables": {},
  "resources": [
    {
      "type": "Microsoft.Resources/resourceGroups",
      "apiVersion": "2021-04-01",
      "name": "[parameters('rgName')]",
      "location": "[parameters('rgLocation')]",
      "properties": {}
    },
    {
      "type": "Microsoft.Resources/deployments",
      "apiVersion": "2021-04-01",
      "name": "lockDeployment",
      "resourceGroup": "[parameters('rgName')]",
      "dependsOn": [
        "[resourceId('Microsoft.Resources/resourceGroups/', parameters('rgName'))]"
      ],
      "properties": {
        "mode": "Incremental",
        "template": {
          "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
          "contentVersion": "1.0.0.0",
          "parameters": {},
          "variables": {},
          "resources": [
            {
              "type": "Microsoft.Authorization/locks",
              "apiVersion": "2016-09-01",
              "name": "rgLock",
              "properties": {
                "level": "CanNotDelete",
                "notes": "Resource group and its resources should not be deleted."
              }
            }
          ],
          "outputs": {}
        }
      }
    }
  ],
  "outputs": {}
}

メインの Bicep ファイルでは、リソースグループが作成され、モジュールを使用してロックが作成されます。

targetScope = 'subscription'

param rgName string
param rgLocation string

resource createRg 'Microsoft.Resources/resourceGroups@2021-04-01' = {
  name: rgName
  location: rgLocation
}

module deployRgLock './lockRg.bicep' = {
  name: 'lockDeployment'
  scope: resourceGroup(createRg.name)
}

モジュールでは、リソースグループのロックを追加する lockRg.bicep という名前の Bicep ファイルが使用されます。

resource createRgLock 'Microsoft.Authorization/locks@2016-09-01' = {
  name: 'rgLock'
  properties: {
    level: 'CanNotDelete'
    notes: 'Resource group and its resources should not be deleted.'
  }
}

リソースグループ内のリソースにロックを適用する場合は、スコーププロパティを追加します。スコープを、ロックするリソースの名前に設定します。

次の例では、App Service プラン、Web サイト、および Web サイトに対するロックを作成するテンプレートを示します。ロックのスコープは、Web サイトに設定されています。

JSON
Bicep

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "hostingPlanName": {
      "type": "string"
    },
    "location": {
      "type": "string",
      "defaultValue": "[resourceGroup().location]"
    }
  },
  "variables": {
    "siteName": "[concat('ExampleSite', uniqueString(resourceGroup().id))]"
  },
  "resources": [
    {
      "type": "Microsoft.Web/serverfarms",
      "apiVersion": "2020-12-01",
      "name": "[parameters('hostingPlanName')]",
      "location": "[parameters('location')]",
      "sku": {
        "tier": "Free",
        "name": "f1",
        "capacity": 0
      },
      "properties": {
        "targetWorkerCount": 1
      }
    },
    {
      "type": "Microsoft.Web/sites",
      "apiVersion": "2020-12-01",
      "name": "[variables('siteName')]",
      "location": "[parameters('location')]",
      "dependsOn": [
        "[resourceId('Microsoft.Web/serverfarms', parameters('hostingPlanName'))]"
      ],
      "properties": {
        "serverFarmId": "[parameters('hostingPlanName')]"
      }
    },
    {
      "type": "Microsoft.Authorization/locks",
      "apiVersion": "2016-09-01",
      "name": "siteLock",
      "scope": "[concat('Microsoft.Web/sites/', variables('siteName'))]",
      "dependsOn": [
        "[resourceId('Microsoft.Web/sites', variables('siteName'))]"
      ],
      "properties": {
        "level": "CanNotDelete",
        "notes": "Site should not be deleted."
      }
    }
  ]
}

param hostingPlanName string
param location string = resourceGroup().location

var siteName = concat('ExampleSite', uniqueString(resourceGroup().id))

resource serverFarm 'Microsoft.Web/serverfarms@2020-12-01' = {
  name: hostingPlanName
  location: location
  sku: {
    tier: 'Free'
    name: 'f1'
    capacity: 0
  }
  properties: {
    targetWorkerCount: 1
  }
}

resource webSite 'Microsoft.Web/sites@2020-12-01' = {
  name: siteName
  location: location
  properties: {
    serverFarmId: serverFarm.name
  }
}

resource siteLock 'Microsoft.Authorization/locks@2016-09-01' = {
  name: 'siteLock'
  scope: webSite
  properties:{
    level: 'CanNotDelete'
    notes: 'Site should not be deleted.'
  }
}

Azure PowerShell

Azure PowerShell を使用して、配置されているリソースを New-AzResourceLock コマンドでロックします。

リソースをロックするには、リソースの名前、リソースタイプ、リソースグループ名を指定します。

New-AzResourceLock -LockLevel CanNotDelete -LockName LockSite -ResourceName examplesite -ResourceType Microsoft.Web/sites -ResourceGroupName exampleresourcegroup

リソースグループをロックするには、リソースグループ名を指定します。

New-AzResourceLock -LockName LockGroup -LockLevel CanNotDelete -ResourceGroupName exampleresourcegroup

ロックについての情報を取得するには、Get-AzResourceLock を使います。サブスクリプション内のすべてのロックを取得するには、次のように入力します。

Get-AzResourceLock

特定のリソースのロックをすべて取得するには、次のように入力します。

Get-AzResourceLock -ResourceName examplesite -ResourceType Microsoft.Web/sites -ResourceGroupName exampleresourcegroup

特定のリソースグループのロックをすべて取得するには、次のように入力します。

Get-AzResourceLock -ResourceGroupName exampleresourcegroup

リソースのロックを削除するには、次のように入力します。

$lockId = (Get-AzResourceLock -ResourceGroupName exampleresourcegroup -ResourceName examplesite -ResourceType Microsoft.Web/sites).LockId
Remove-AzResourceLock -LockId $lockId

リソースグループのロックを削除するには、次のように入力します。

$lockId = (Get-AzResourceLock -ResourceGroupName exampleresourcegroup).LockId
Remove-AzResourceLock -LockId $lockId

Azure CLI

配置されているリソースを Azure CLI でロックするには、az lock create コマンドを使います。

リソースをロックするには、リソース名、リソースタイプ、リソースグループ名を指定します。

az lock create --name LockSite --lock-type CanNotDelete --resource-group exampleresourcegroup --resource-name examplesite --resource-type Microsoft.Web/sites

リソースグループをロックするには、リソースグループ名を指定します。

az lock create --name LockGroup --lock-type CanNotDelete --resource-group exampleresourcegroup

ロックについての情報を取得するには、az lock list を使います。サブスクリプション内のすべてのロックを取得するには、次のように入力します。

az lock list

特定のリソースのロックをすべて取得するには、次のように入力します。

az lock list --resource-group exampleresourcegroup --resource-name examplesite --namespace Microsoft.Web --resource-type sites --parent ""

特定のリソースグループのロックをすべて取得するには、次のように入力します。

az lock list --resource-group exampleresourcegroup

リソースのロックを削除するには、次のように入力します。

lockid=$(az lock show --name LockSite --resource-group exampleresourcegroup --resource-type Microsoft.Web/sites --resource-name examplesite --output tsv --query id)
az lock delete --ids $lockid

リソースグループのロックを削除するには、次のように入力します。

lockid=$(az lock show --name LockSite --resource-group exampleresourcegroup  --output tsv --query id)
az lock delete --ids $lockid

Python

配置されているリソースを Python でロックするには、ManagementLockClient.management_locks.create_or_update_at_resource_group_level コマンドを使います。

リソースをロックするには、リソース名、リソースタイプ、リソースグループ名を指定します。

import os
from azure.identity import AzureCliCredential
from azure.mgmt.resource import ManagementLockClient

credential = AzureCliCredential()
subscription_id = os.environ["AZURE_SUBSCRIPTION_ID"]

lock_client = ManagementLockClient(credential, subscription_id)

lock_result = lock_client.management_locks.create_or_update_at_resource_level(
    "exampleGroup",
    "Microsoft.Web",
    "",
    "sites",
    "examplesite",
    "lockSite",
    {
        "level": "CanNotDelete"
    }
)

リソースグループをロックするには、そのリソースグループの名前を指定します。

import os
from azure.identity import AzureCliCredential
from azure.mgmt.resource import ManagementLockClient

credential = AzureCliCredential()
subscription_id = os.environ["AZURE_SUBSCRIPTION_ID"]

lock_client = ManagementLockClient(credential, subscription_id)

lock_result = lock_client.management_locks.create_or_update_at_resource_group_level(
    "exampleGroup",
    "lockGroup",
    {
        "level": "CanNotDelete"
    }
)

サブスクリプション内のすべてのロックに関する情報を取得するには、ManagementLockClient.management_locks.get を使用します。

サブスクリプション内のすべてのロックを取得するには、次のように入力します。

import os
from azure.identity import AzureCliCredential
from azure.mgmt.resource import ManagementLockClient

credential = AzureCliCredential()
subscription_id = os.environ["AZURE_SUBSCRIPTION_ID"]

lock_client = ManagementLockClient(credential, subscription_id)

lock_result = lock_client.management_locks.list_at_subscription_level()

for lock in lock_result:
    print(f"Lock name: {lock.name}")
    print(f"Lock level: {lock.level}")
    print(f"Lock notes: {lock.notes}")

リソースのロックを取得するには、次のように入力します。

import os
from azure.identity import AzureCliCredential
from azure.mgmt.resource import ManagementLockClient

credential = AzureCliCredential()
subscription_id = os.environ["AZURE_SUBSCRIPTION_ID"]

lock_client = ManagementLockClient(credential, subscription_id)

lock_result = lock_client.management_locks.get_at_resource_level(
    "exampleGroup",
    "Microsoft.Web",
    "",
    "sites",
    "examplesite",
    "lockSite"
)

print(f"Lock ID: {lock_result.id}")
print(f"Lock Name: {lock_result.name}")
print(f"Lock Level: {lock_result.level}")

リソースグループのロックを取得するには、次のコードを使います。

import os
from azure.identity import AzureCliCredential
from azure.mgmt.resource import ManagementLockClient

credential = AzureCliCredential()
subscription_id = os.environ["AZURE_SUBSCRIPTION_ID"]

lock_client = ManagementLockClient(credential, subscription_id)

lock_result = lock_client.management_locks.get_at_resource_group_level(
    "exampleGroup",
    "lockGroup"
)

print(f"Lock ID: {lock_result.id}")
print(f"Lock Level: {lock_result.level}")

リソースのロックを削除するには、次のように入力します。

import os
from azure.identity import AzureCliCredential
from azure.mgmt.resource import ManagementLockClient

credential = AzureCliCredential()
subscription_id = os.environ["AZURE_SUBSCRIPTION_ID"]

lock_client = ManagementLockClient(credential, subscription_id)

lock_client.management_locks.delete_at_resource_level(
    "exampleGroup",
    "Microsoft.Web",
    "",
    "sites",
    "examplesite",
    "lockSite"
)

リソースグループのロックを削除するには、次のように入力します。

import os
from azure.identity import AzureCliCredential
from azure.mgmt.resource import ManagementLockClient

credential = AzureCliCredential()
subscription_id = os.environ["AZURE_SUBSCRIPTION_ID"]

lock_client = ManagementLockClient(credential, subscription_id)

lock_client.management_locks.delete_at_resource_group_level("exampleGroup", "lockGroup")

REST API

管理ロック用の REST API を使用して、デプロイ済みのリソースをロックできます。 REST API では、ロックの作成と削除、既存のロックに関する情報の取得を行うことができます。

ロックを作成するには、次のように実行します。

PUT https://management.azure.com/{scope}/providers/Microsoft.Authorization/locks/{lock-name}?api-version={api-version}

スコープには、サブスクリプション、リソースグループ、またはリソースを使用できます。ロック名は、任意の名前を指定できます。 API バージョンには、2016-09-01 を使用します。

要求に、ロックのプロパティを指定する JSON オブジェクトを含めます。

{
  "properties": {
  "level": "CanNotDelete",
  "notes": "Optional text notes."
  }
}

次のステップ

リソースを論理的に整理する方法については、「タグを使用して Azure リソースと整理階層を整理する」を参照してください。
カスタマイズしたポリシーを使用して、サブスクリプションの制約と規則を適用できます。詳細については、「Azure Policy とは」を参照してください。
Azure portal を使用してサブスクリプションポリシーを管理する方法に関するガイダンスについては、「Azure サブスクリプションのポリシーを管理する」を参照してください。

次の方法で共有

Azure リソースをロックしてインフラストラクチャを保護する

ロックの継承

ロックのスコープについて

ロック適用前の考慮事項

誰がロックを作成または削除できるか

マネージド アプリケーションとロック

ロックの構成

Azure portal

Template

Azure PowerShell

Azure CLI

Python

REST API

次のステップ

フィードバック

その他のリソース

マネージドアプリケーションとロック