Azure Container Registry の条件付きアクセスポリシー

[アーティクル]
12/12/2023

Azure Container Registry (ACR) には、"条件付きアクセスポリシー" を作成して構成するオプションがあります。通常、Azure Active Directory (Azure AD) に関連付けられている条件付きアクセスポリシーは、ACR を含むさまざまな Azure サービスに対して強力な認証とアクセス制御を適用するために使用されます。

条件付きアクセスポリシーは、Azure Container Registry への第 1 要素認証が完了した後に適用されます。 ACR の条件付きアクセスの目的は、ユーザー認証のみです。このポリシーを使用すると、ユーザーはコントロールを選択し、ポリシーの決定に基づいてアクセスをブロックまたは許可できます。

条件付きアクセスポリシーは、強力な認証を適用するように設計されています。このポリシーにより、組織のコンプライアンス要件を満たすセキュリティが実現し、データとユーザーアカウントを安全に保つことができます。

重要

レジストリの条件付きアクセスポリシーを構成するには、目的のテナント内のすべてのレジストリの authentication-as-arm を無効にする必要があります。

ポリシーの決定を行うために考慮する条件である、条件付きアクセスポリシーについて詳しく説明します。

このチュートリアルでは、次の作業を行う方法について説明します。

Azure Container Registry の条件付きアクセスポリシーを作成して構成する。
条件付きアクセスポリシーのトラブルシューティングを行います。

前提条件

バージョン 2.40.0 以降の Azure CLI をインストールするかアップグレードします。バージョンを確認するには、az --version を実行します。
Azure portal にサインインします。

条件付きアクセスポリシーを作成して構成する - Azure portal

ACR では、Active Directory ユーザーに対してのみ条件付きアクセスポリシーがサポートされます。サービスプリンシパルに対する条件付きアクセスポリシーは、現在サポートされていません。レジストリの条件付きアクセスポリシーを構成するには、目的のテナント内のすべてのレジストリの authentication-as-arm を無効にする必要があります。このチュートリアルでは、Azure Container Registry の基本的な条件付きアクセスポリシーを Azure portal から作成します。

次のように、条件付きアクセスポリシーを作成し、ユーザーのテストグループを割り当てます。

"グローバル管理者" のアクセス許可を持つアカウントを使用して、Azure portal にサインインします。
Microsoft Entra ID を検索して選択します。次に、左側のメニューで [セキュリティ] を選択します。
[条件付きアクセス]、[+ 新しいポリシー]、[新しいポリシーの作成] の順に選択します。
ポリシーの名前を入力します (例: demo)。
[割り当て] で、[ユーザーまたはワークロードの ID] の下の現在の値を選択します。
[このポリシーの適用対象] で、[ユーザーとグループ] を確認して選択します。
[含める] で、[ユーザーとグループを選択] をオンにし、[すべてのユーザー] をオンにします。
[除外] で、[ユーザーとグループの選択] を選択して、任意の選択を除外します。
[クラウドアプリまたは操作] で、[クラウドアプリ] を選択します。
[含める] で、 [アプリを選択] を選択します。
条件付きアクセスを適用するアプリを参照して選択します。この場合は Azure Container Registry で、[選択] を選択します。
[条件] で、"ユーザーのリスクレベル"、 "サインインのリスクレベル、"サインインリスク検出 (プレビュー)"、"デバイスプラットフォーム"、 "場所"、 "クライアントアプリ"、 "時間 (プレビュー)"、 "デバイスのフィルター" などのオプションを使用して、制御アクセスレベルを構成します。
[許可] で、Azure portal へのサインインイベント中にアクセスの許可またはアクセスのブロックを適用するオプションをフィルター処理して選択します。この場合、[多要素認証を要求する] でアクセス権を付与し、[選択] を選択します。

ヒント

多要素認証を構成して許可するには、「多要素認証の構成と条件」を参照してください。
[セッション] で、クラウドアプリのセッションレベルのエクスペリエンスを制御できるオプションをフィルター処理して選択します。
選択して確認したら、[ポリシーを有効にする] で [オン] を選択します。
ポリシーを適用してアクティブ化するには、[作成] を選択します。