Microsoft Entra テナント間でのオブジェクトレプリケーションを防止する

オブジェクトレプリケーションは、あるストレージアカウント内のコンテナーから別のストレージアカウント内のコンテナーにブロック BLOB を非同期的にコピーします。オブジェクトレプリケーションポリシーを構成するときは、ソースアカウントとコンテナー、および移行先アカウントとコンテナーを指定します。ポリシーが構成されると、Azure Storage は、ソースオブジェクトに対する作成、更新、および削除操作の結果をコピー先オブジェクトに自動的にコピーします。 Azure Storage でのオブジェクトレプリケーションの詳細については、「ブロック BLOB のオブジェクトレプリケーション」を参照してください。

承認されたユーザーは、ソースアカウントが 1 つの Microsoft Entra テナントにあり、Microsoft Entra テナント間でテナント間レプリケーションが許可されている場合、移行先アカウントが別のテナントにあるオブジェクトレプリケーションポリシーを構成できます。セキュリティポリシーで、同じテナント内にのみ存在するストレージアカウントへのオブジェクトレプリケーションを制限する必要がある場合は、ソースアカウントと移行先アカウントが異なるテナントにあるポリシーの作成を禁止できます。既定では、明示的に許可しない限り、2023 年 12 月 15 日以降に作成されたすべての新しいストレージアカウントに対してクロステナントオブジェクトレプリケーションは無効になります。

この記事では、ストレージアカウントのテナント間オブジェクトレプリケーションを修復する方法について説明します。また、新規および既存のストレージアカウントのテナント間オブジェクトレプリケーションを禁止するポリシーを作成する方法についても説明します。

クロステナントポリシーを含むオブジェクトレプリケーションポリシーを構成する方法の詳細については、「ブロック BLOB のオブジェクトレプリケーションを構成する」を参照してください。

テナント間オブジェクトレプリケーションの修正

Microsoft Entra テナント間でのオブジェクトレプリケーションを防ぐには、ストレージアカウントの AllowCrossTenantReplication プロパティを false に設定 します。ストレージアカウントが現在テナント間オブジェクトレプリケーションポリシーに参加していない場合は、 AllowCrossTenantReplication プロパティを false に設定すると、このストレージアカウントをソースまたは宛先として使用するクロステナントオブジェクトレプリケーションポリシーの将来の構成が防止されます。ただし、ストレージアカウントが現在 1 つ以上のテナント間オブジェクトレプリケーションポリシーに参加している場合、既存のクロステナントポリシーを削除するまで 、AllowCrossTenantReplication プロパティを false に設定することはできません。

テナント間ポリシーは、2023 年 12 月 15 日以降に作成されたストレージアカウントでは、既定では許可されません。ただし、 AllowCrossTenantReplication プロパティは、2023 年 12 月 15 日より前に作成された既存のストレージアカウントに対して既定で設定されておらず、明示的に設定されるまで値を返しません。 2023 年 Dev 15 より前に作成されたアカウントのプロパティ値が null または true の場合、ストレージアカウントはテナント間のオブジェクトレプリケーションポリシーに参加できます。その後に作成されたアカウントの場合、プロパティを true に設定する必要があります。 AllowCrossTenantReplication プロパティを設定しても、ストレージアカウントにダウンタイムは発生しません。

新しいアカウントのテナント間レプリケーションを修復する

新しいストレージアカウントのテナント間レプリケーションを禁止するには、Azure portal、PowerShell、または Azure CLI を使用します。このプロパティは、明示的に設定されていない場合でも、2023 年 12 月 15 日以降に作成された新しいアカウントの既定値は false になります。

ストレージアカウントのテナント間オブジェクトレプリケーションを禁止するには、次の手順に従います。

Azure portal で、[ ストレージアカウント ] ページに移動し、[ 作成] を選択します。
新しいストレージアカウントの [ 基本 ] タブに入力します。
[ 詳細設定 ] タブの [BLOB ストレージ ] セクションで、[ テナント間レプリケーションを許可する ] 設定を見つけて、チェックボックスをオフにします。
アカウントを作成するプロセスを完了します。

新しいストレージアカウントのテナント間オブジェクトレプリケーションを禁止するには、New-AzStorageAccount コマンドを呼び出し、AllowCrossTenantReplicationを持つパラメーターを含めます。

$rgName = "<resource-group>"
$accountName = "<storage-account>"
$location = "<location>"

# Create a storage account and disallow cross-tenant replication.
New-AzStorageAccount -ResourceGroupName $rgName `
    -Name $accountName `
    -Location $location `
    -SkuName Standard_LRS `
    -AllowBlobPublicAccess $false `
    -AllowCrossTenantReplication $false

# Read the property for the new storage account
(Get-AzStorageAccount -ResourceGroupName $rgName -Name $accountName).AllowCrossTenantReplication

新しいストレージアカウントのテナント間オブジェクトレプリケーションを禁止するには、 az storage account create コマンドを呼び出し、 allow-cross-tenant-replication パラメーターを false の値で含 めます。

# Create a storage account with cross-tenant replication disallowed.
az storage account create \
    --name <storage-account> \
    --resource-group <resource-group> \
    --location <location> \
    --sku Standard_LRS \
    --allow-blob-public-access false \
    --allow-cross-tenant-replication false

# Read the property for the new storage account
az storage account show \
    --name <storage-account> \
    --resource-group <resource-group> \
    --query allowCrossTenantReplication \
    --output tsv

既存のアカウントのテナント間レプリケーションを修復する

既存のストレージアカウントのテナント間レプリケーションを禁止するには、Azure portal、PowerShell、または Azure CLI を使用します。

現在テナント間ポリシーに参加していない既存のストレージアカウントのテナント間オブジェクトレプリケーションを禁止するには、次の手順に従います。

Azure Portal のストレージアカウントに移動します。
[ データ管理] で、[ オブジェクトレプリケーション] を選択します。
[詳細設定] を選択します。
[ テナント間レプリケーションを許可する] チェックボックスをオフにします。明示的に許可しない限り、ストレージアカウントに対してクロステナントオブジェクトレプリケーションが許可されるため、既定ではこのボックスがオンになっています。
[OK] を選択して変更を保存します。

ストレージアカウントが現在 1 つ以上のテナント間レプリケーションポリシーに参加している場合、それらのポリシーを削除するまで、テナント間オブジェクトレプリケーションを禁止することはできません。このシナリオでは、次の図に示すように、Azure portal で設定を使用できません。

スクリーンショット

現在テナント間ポリシーに参加していない既存のストレージアカウントのテナント間オブジェクトレプリケーションを禁止するには、まず Az.Storage PowerShell モジュールバージョン 3.7.0 以降をインストールします。次に、ストレージアカウントの AllowCrossTenantReplication プロパティを構成します。

次の例は、PowerShell を使用して既存のストレージアカウントのテナント間オブジェクトレプリケーションを禁止する方法を示しています。かっこ内のプレースホルダー値を独自の値に置き換えることを忘れないでください。

$rgName = "<resource-group>"
$accountName = "<storage-account>"

Set-AzStorageAccount -ResourceGroupName $rgName `
    -AccountName $accountName `
    -AllowCrossTenantReplication $false

ストレージアカウントが現在 1 つ以上のテナント間レプリケーションポリシーに参加している場合、それらのポリシーを削除するまで、テナント間オブジェクトレプリケーションを禁止することはできません。 PowerShell には、既存のテナント間レプリケーションポリシーが原因で操作が失敗したことを示すエラーが表示されます。

現在テナント間ポリシーに参加していない既存のストレージアカウントのテナント間オブジェクトレプリケーションを禁止するには、まず Azure CLI バージョン 2.24.0 以降をインストールします。詳細については、「 Azure CLI のインストール」を参照してください。次に、新規または既存のストレージアカウントの allowCrossTenantReplication プロパティを構成します。

次の例は、Azure CLI を使用して既存のストレージアカウントのテナント間オブジェクトレプリケーションを禁止する方法を示しています。かっこ内のプレースホルダー値を独自の値に置き換えることを忘れないでください。

az storage account update \
    --name <storage-account> \
    --resource-group <resource-group> \
    --allow-cross-tenant-replication false

ストレージアカウントが現在 1 つ以上のテナント間レプリケーションポリシーに参加している場合、それらのポリシーを削除するまで、テナント間オブジェクトレプリケーションを禁止することはできません。 Azure CLI には、既存のテナント間レプリケーションポリシーが原因で操作が失敗したことを示すエラーが表示されます。

テナント間レプリケーションを禁止した後、ソースまたは宛先としてストレージアカウントを使用してクロステナントポリシーを構成しようとすると失敗します。 Azure Storage は、ストレージアカウントに対してテナント間オブジェクトレプリケーションが許可されていないことを示すエラーを返します。

ストレージアカウントに対してテナント間オブジェクトレプリケーションが禁止されている場合、そのアカウントで作成する新しいオブジェクトレプリケーションポリシーには、ソースアカウントと移行先アカウントの完全な Azure Resource Manager ID が含まれている必要があります。 Azure Storage では、ソースアカウントと移行先アカウントが同じテナント内に存在するかどうかを確認するために、完全なリソース ID が必要です。詳細については、「ソースアカウントと移行先アカウントの完全なリソース ID を指定する」を参照してください。

AllowCrossTenantReplication プロパティは、Azure Resource Manager デプロイモデルのみを使用するストレージアカウントでサポートされています。 Azure Resource Manager デプロイモデルを使用するストレージアカウントの詳細については、「ストレージアカウントの種類」を参照してください。

テナント間レプリケーションを許可または禁止するためのアクセス許可

ストレージアカウントの AllowCrossTenantReplication プロパティを設定するには、ユーザーがストレージアカウントを作成および管理するためのアクセス許可を持っている必要があります。これらのアクセス許可を提供する Azure ロールベースのアクセス制御 (Azure RBAC) ロールには、Microsoft.Storage/storageAccounts/write または Microsoft.Storage/storageAccounts/* アクションが含まれます。このアクションの組み込みロールには、次のようなロールがあります。

Azure Resource Manager の所有者ロール
Azure Resource Manager の共同作成者ロール
Storage Account の共同作成者ロール

これらのロールは、Microsoft Entra ID を介したストレージアカウント内のデータへのアクセスを提供しません。ただし、アカウントアクセスキーへのアクセスを許可する Microsoft.Storage/storageAccounts/listkeys/action が含まれています。このアクセス許可では、ユーザーがアカウントアクセスキーを使用して、ストレージアカウント内のすべてのデータにアクセスできます。

ロールの割り当ては、ユーザーがストレージアカウントのテナント間オブジェクトレプリケーションを許可または禁止できるようにするために、ストレージアカウント以上のレベルにスコープを設定する必要があります。ロールスコープの詳細については、「Azure RBAC のスコープについて」をご覧ください。

これらのロールを割り当てる際には、ストレージアカウントを作成したり、そのプロパティを更新したりする機能を必要とするユーザーにのみ割り当てるように、注意してください。最小限の特権の原則を使用して、ユーザーに、それぞれのタスクを実行するのに必要な最小限のアクセス許可を割り当てるようにします。 Azure RBAC でアクセスを管理する方法の詳細については、「Azure RBAC のベストプラクティス」を参照してください。

注

従来のサブスクリプション管理者ロールであるサービス管理者と共同管理者には、Azure Resource Manager の所有者ロールと同等のものが含まれています。 所有者ロールにはすべてのアクションが含まれているため、これらの管理者ロールのいずれかを持つユーザーも、ストレージアカウントを作成および管理できます。詳細については、「Azure ロール、Microsoft Entra ロール、従来のサブスクリプション管理者ロール」を参照してください。

Azure Policy を使用してコンプライアンスを監査する

多数のストレージアカウントがある場合は、監査を実行して、テナント間オブジェクトのレプリケーションを防ぐためにそれらのアカウントが構成されていることを確認できます。一連のストレージアカウントのコンプライアンスを監査するには、Azure Policy を使用します。 Azure Policy は、Azure リソースにルールを適用するポリシーの作成、割り当て、管理に使用できるサービスです。 Azure Policy を使用すると、それらのリソースが会社の標準やサービスレベルアグリーメントに準拠した状態を維持するのに役立ちます。詳細については、Azure Policy の概要に関するページを参照してください。

Audit 効果を持つポリシーを作成する

Azure Policy では、ポリシー規則がリソースに対して評価されたときに実行される動作を決定する効果がサポートされています。監査効果は、リソースが準拠していないが要求を停止しない場合に警告を作成します。効果の詳細については、「Azure Policy の効果について」を参照してください。

Azure portal でストレージアカウントのテナント間オブジェクトレプリケーション設定の監査効果を持つポリシーを作成するには、次の手順に従います。

Azure portal で、Azure Policy サービスに移動します。
[作成] セクションで [定義] を選択します。
[ポリシー定義の追加] を選択して、新しいポリシー定義を作成します。
[定義の場所] フィールドで、 [More](詳細) ボタンを選択して、監査ポリシーのリソースがある場所を指定します。
ポリシーの名前を指定します。必要に応じて説明およびカテゴリを指定することもできます。

[ポリシー規則] で、次のポリシー定義を policyRule セクションに追加します。

{
  "if": {
    "allOf": [
      {
        "field": "type",
        "equals": "Microsoft.Storage/storageAccounts"
      },
      {
        "not": {
          "field":"Microsoft.Storage/storageAccounts/allowCrossTenantReplication",
          "equals": "false"
        }
      }
    ]
  },
  "then": {
    "effect": "audit"
  }
}

ポリシーを保存します。

ポリシーを割り当てる

次に、ポリシーをリソースに割り当てます。ポリシーのスコープは、そのリソースとその下にあるすべてのリソースに対応します。ポリシー割り当ての詳細については、「Azure Policy の割り当ての構造」を参照してください。

Azure portal でポリシーを割り当てるには、次の手順を実行します。

Azure portal で、Azure Policy サービスに移動します。
[作成] セクションで [割り当て] を選択します。
新しいポリシー割り当てを作成するために、 [ポリシーの割り当て] を選択します。
[スコープ] フィールドで、ポリシー割り当てのスコープを選択します。
[ポリシー定義] フィールドで、 [More](詳細) ボタンを選択して、前のセクションで定義したポリシーを一覧から選択します。
ポリシー割り当て用の名前を入力します。説明は省略できます。
[ポリシーの適用] を "有効" のままに設定しておきます。この設定は、監査ポリシーには影響しません。
[確認および作成] を選択して割り当てを作成します。

コンプライアンスレポートを表示する

ポリシーを割り当てたら、コンプライアンスレポートを表示できます。監査ポリシーのコンプライアンスレポートには、テナント間オブジェクトレプリケーションポリシーが引き続き許可されているストレージアカウントに関する情報が表示されます。詳細については、ポリシーのコンプライアンスデータを取得することに関する記事を参照してください。

ポリシー割り当てが作成された後、コンプライアンスレポートが使用可能になるまで数分かかる場合があります。

Azure portal でコンプライアンスレポートを表示するには、次の手順を実行します。

Azure portal で、Azure Policy サービスに移動します。
[コンプライアンス] を選択します。
前の手順で作成したポリシー割り当ての名前の結果をフィルター処理します。レポートには、ポリシーに準拠していないリソースが表示されます。
レポートにドリルダウンして、コンプライアンスに準拠していないストレージアカウントの一覧など、追加の詳細を確認できます。

Azure Policy を使用して同じテナントレプリケーションポリシーを適用する

Azure Policy では、Azure リソースが要件と標準に準拠していることを確認することで、クラウドガバナンスがサポートされます。組織内のストレージアカウントでテナント間レプリケーションが禁止されるようにするには、テナント間オブジェクトレプリケーションポリシーを許可する新しいストレージアカウントの作成を禁止するポリシーを作成します。適用ポリシーでは、拒否効果を使用して、テナント間オブジェクトレプリケーションを許可するようにストレージアカウントを作成または変更する要求を防ぎます。また、拒否ポリシーは、そのアカウントのクロステナントオブジェクトレプリケーション設定がポリシーに準拠していない場合に、既存のアカウントに対するすべての構成変更を防止します。拒否効果の詳細については、「 Azure Policy の効果について」を参照してください。

テナント間オブジェクトレプリケーションの拒否効果を持つポリシーを作成するには、「 Azure Policy を使用してコンプライアンスを監査する」で説明されているのと同じ手順に従いますが、ポリシー定義の policyRule セクションに次の JSON を指定します。

{
  "if": {
    "allOf": [
      {
        "field": "type",
        "equals": "Microsoft.Storage/storageAccounts"
      },
      {
        "not": {
          "field":"Microsoft.Storage/storageAccounts/allowCrossTenantReplication",
          "equals": "false"
        }
      }
    ]
  },
  "then": {
    "effect": "deny"
  }
}

拒否効果を使用してポリシーを作成し、それをスコープに割り当てた後、ユーザーはテナント間オブジェクトレプリケーションを許可するストレージアカウントを作成できません。また、ユーザーは、現在テナント間オブジェクトレプリケーションを許可している既存のストレージアカウントに対して構成を変更することもできません。この操作を行おうとすると、エラーが発生します。ポリシーに従ってアカウントの作成または構成の更新を続行するには、ストレージアカウントの AllowCrossTenantReplication プロパティを false に設定する必要があります。

次の図は、拒否効果を持つポリシーでテナント間オブジェクトレプリケーションが禁止されている必要がある場合に、テナント間オブジェクトレプリケーションを許可するストレージアカウント (新しいアカウントの既定値) を作成しようとした場合に発生するエラーを示しています。

ポリシーに違反するストレージアカウントを作成したときに発生したエラーを示すスクリーンショット

こちらも参照ください

フィードバック

このページはお役に立ちましたか?

Last updated on 2023-12-08

次の方法で共有

Microsoft Entra テナント間でのオブジェクト レプリケーションを防止する

テナント間オブジェクト レプリケーションの修正