チュートリアル: Azure PowerShell を使用して Azure リソースへのアクセス権をグループに付与する

Azure ロールベースのアクセス制御 (Azure RBAC) は、Azure リソースへのアクセスを管理する方法です。このチュートリアルでは、Azure PowerShell を使用して、サブスクリプション内のすべてを表示し、リソースグループ内のすべてを管理するためのアクセス権をグループに付与します。

このチュートリアルでは、以下の内容を学習します。

異なるスコープのグループにアクセス権を付与する
アクセスを一覧表示する
アクセス権の削除

Azure サブスクリプションをお持ちでない場合は、開始する前に無料アカウントを作成してください。

注

Azure Az PowerShell モジュールを使用して Azure と対話することをお勧めします。作業を始めるには、「Azure PowerShell をインストールする」を参照してください。 Az PowerShell モジュールに移行する方法については、「 Azure PowerShell を AzureRM から Az に移行する」を参照してください。

[前提条件]

このチュートリアルを完了するには、次のものが必要です。

Microsoft Entra ID でグループを作成するためのアクセス許可 (または既存のグループを持っている)
Azure クラウドシェル
Microsoft Graph PowerShell SDK

ロールの割り当て

Azure RBAC でアクセス権を付与するには、ロールの割り当てを作成します。ロールの割り当ては、セキュリティプリンシパル、ロールの定義、スコープの 3 つの要素で構成されています。このチュートリアルで実行する 2 つのロールの割り当てを次に示します。

セキュリティプリンシパル	ロール定義	Scope
グループ (RBAC チュートリアルグループ)	Reader	Subscription
グループ (RBAC チュートリアルグループ)	投稿者	リソースグループ (rbac-tutorial-resource-group)

グループのロールの割り当て

グループの作成

ロールを割り当てるには、ユーザー、グループ、またはサービスプリンシパルが必要です。グループをまだ持っていない場合は、グループを作成できます。

Azure Cloud Shell で、 New-MgGroup コマンドを使用して新しいグループを作成します。

New-MgGroup -DisplayName "RBAC Tutorial Group" -MailEnabled:$false `
    -SecurityEnabled:$true -MailNickName "NotSet"

DisplayName         Id                                   MailNickname Description GroupTypes
-----------         --                                   ------------ ----------- ----------
RBAC Tutorial Group aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb NotSet                   {}

グループを作成するアクセス許可がない場合は、「チュートリアル: Azure PowerShell を使用して Azure リソースへのアクセス権をユーザーに付与する」を試すことができます。

リソースグループを作成する

リソースグループを使用して、リソースグループスコープでロールを割り当てる方法を示します。

Get-AzLocation コマンドを使用して、リージョンの場所の一覧を取得します。
```
Get-AzLocation | select Location
```
近くの場所を選択し、変数に割り当てます。
```
$location = "westus"
```

New-AzResourceGroup コマンドを使用して、新しいリソースグループを作成します。

New-AzResourceGroup -Name "rbac-tutorial-resource-group" -Location $location

ResourceGroupName : rbac-tutorial-resource-group
Location          : westus
ProvisioningState : Succeeded
Tags              :
ResourceId        : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/rbac-tutorial-resource-group

アクセス権を付与する

グループへのアクセス権を付与するには、 New-AzRoleAssignment コマンドを使用してロールを割り当てます。セキュリティプリンシパル、ロール定義、およびスコープを指定する必要があります。

Get-MgGroup コマンドを使用して、グループのオブジェクト ID を取得します。

Get-MgGroup -Filter "DisplayName eq 'RBAC Tutorial Group'"

DisplayName         Id                                   MailNickname Description GroupTypes
-----------         --                                   ------------ ----------- ----------
RBAC Tutorial Group aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb NotSet                   {}

グループオブジェクト ID を変数に保存します。
```
$groupId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
```

Get-AzSubscription コマンドを使用して、サブスクリプションの ID を取得します。

Get-AzSubscription

Name     : Pay-As-You-Go
Id       : 00000000-0000-0000-0000-000000000000
TenantId : aaaabbbb-0000-cccc-1111-dddd2222eeee
State    : Enabled

サブスクリプションスコープを変数に保存します。
```
$subScope = "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
```

サブスクリプションスコープで閲覧者ロールをグループに割り当てます。

New-AzRoleAssignment -ObjectId $groupId `
  -RoleDefinitionName "Reader" `
  -Scope $subScope

RoleAssignmentId   : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/providers/Microsoft.Authorization/roleAssignments/00000000-0000-0000-0000-000000000000
Scope              : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e
DisplayName        : RBAC Tutorial Group
SignInName         :
RoleDefinitionName : Reader
RoleDefinitionId   : acdd72a7-3385-48ef-bd42-f606fba81ae7
ObjectId           : aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
ObjectType         : Group
CanDelegate        : False

リソースグループスコープで共同作成者ロールをグループに割り当てます。

New-AzRoleAssignment -ObjectId $groupId `
  -RoleDefinitionName "Contributor" `
  -ResourceGroupName "rbac-tutorial-resource-group"

RoleAssignmentId   : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/rbac-tutorial-resource-group/providers/Microsoft.Authorization/roleAssignments/00000000-0000-0000-0000-000000000000
Scope              : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/rbac-tutorial-resource-group
DisplayName        : RBAC Tutorial Group
SignInName         :
RoleDefinitionName : Contributor
RoleDefinitionId   : b24988ac-6180-42a0-ab88-20f7382dd24c
ObjectId           : aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
ObjectType         : Group
CanDelegate        : False

アクセスを一覧表示する

サブスクリプションのアクセス権を確認するには、 Get-AzRoleAssignment コマンドを使用してロールの割り当てを一覧表示します。

Get-AzRoleAssignment -ObjectId $groupId -Scope $subScope

RoleAssignmentId   : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/providers/Microsoft.Authorization/roleAssignments/ffffffff-eeee-dddd-cccc-bbbbbbbbbbb0
Scope              : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e
DisplayName        : RBAC Tutorial Group
SignInName         :
RoleDefinitionName : Reader
RoleDefinitionId   : acdd72a7-3385-48ef-bd42-f606fba81ae7
ObjectId           : aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
ObjectType         : Group
CanDelegate        : False

出力では、閲覧者ロールがサブスクリプションスコープの RBAC チュートリアルグループに割り当てられていることがわかります。

リソースグループのアクセスを確認するには、 Get-AzRoleAssignment コマンドを使用してロールの割り当てを一覧表示します。

Get-AzRoleAssignment -ObjectId $groupId -ResourceGroupName "rbac-tutorial-resource-group"

RoleAssignmentId   : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/rbac-tutorial-resource-group/providers/Microsoft.Authorization/roleAssignments/00000000-0000-0000-0000-000000000000
Scope              : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/rbac-tutorial-resource-group
DisplayName        : RBAC Tutorial Group
SignInName         :
RoleDefinitionName : Contributor
RoleDefinitionId   : b24988ac-6180-42a0-ab88-20f7382dd24c
ObjectId           : aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
ObjectType         : Group
CanDelegate        : False

RoleAssignmentId   : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/providers/Microsoft.Authorization/roleAssignments/ffffffff-eeee-dddd-cccc-bbbbbbbbbbb0
Scope              : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e
DisplayName        : RBAC Tutorial Group
SignInName         :
RoleDefinitionName : Reader
RoleDefinitionId   : acdd72a7-3385-48ef-bd42-f606fba81ae7
ObjectId           : aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
ObjectType         : Group
CanDelegate        : False

出力では、共同作成者ロールと閲覧者ロールの両方が RBAC チュートリアルグループに割り当てられていることがわかります。共同作成者ロールは rbac-tutorial-resource-group スコープにあり、閲覧者ロールはサブスクリプションスコープで継承されます。

(省略可能)Azure Portal を使用してアクセスを一覧表示する

Azure portal でロールの割り当てがどのように表示されるかを確認するには、サブスクリプションの アクセス制御 (IAM) ブレードを表示します。
リソースグループの [アクセス制御 (IAM)] ブレードを表示します。

アクセス権の削除

ユーザー、グループ、アプリケーションのアクセス権を削除するには、 Remove-AzRoleAssignment を使用してロールの割り当てを削除します。

次のコマンドを使用して、リソースグループスコープでグループの共同作成者ロールの割り当てを削除します。
```
Remove-AzRoleAssignment -ObjectId $groupId `
  -RoleDefinitionName "Contributor" `
  -ResourceGroupName "rbac-tutorial-resource-group"
```
次のコマンドを使用して、サブスクリプションスコープでグループの閲覧者ロールの割り当てを削除します。
```
Remove-AzRoleAssignment -ObjectId $groupId `
  -RoleDefinitionName "Reader" `
  -Scope $subScope
```

リソースをクリーンアップする

このチュートリアルで作成したリソースをクリーンアップするには、リソースグループとグループを削除します。

Remove-AzResourceGroup コマンドを使用してリソースグループを削除します。

Remove-AzResourceGroup -Name "rbac-tutorial-resource-group"

Confirm
Are you sure you want to remove resource group 'rbac-tutorial-resource-group'
[Y] Yes  [N] No  [S] Suspend  [?] Help (default is "Y"):

確認を求められたら、「Y」と入力 します。削除には数秒かかります。
Remove-MgGroup コマンドを使用してグループを削除します。
```
Remove-MgGroup -GroupID $groupId
```
グループを削除しようとしたときにエラーが発生した場合は、ポータルでグループを削除することもできます。

次のステップ

Azure PowerShell を使用して Azure ロールを割り当てる

フィードバック

このページはお役に立ちましたか?

Last updated on 2025-10-09