Azure シリアルコンソールを有効または無効にする

[アーティクル]
03/27/2024

他のリソースと同様に、Azure シリアルコンソールを有効または無効にすることができます。シリアルコンソールは、グローバル Azure 内のすべてのサブスクリプションに対して既定で有効になっています。現在、シリアルコンソールを無効にすると、サブスクリプション全体のサービスが無効になります。サブスクリプションのシリアルコンソールを無効または再度有効にするには、サブスクリプションで共同作成者レベル以上のアクセス権が必要です。

ブート診断を無効にすることで、個々の VM または仮想マシンスケールセットインスタンスのシリアルコンソールを無効にすることもできます。 VM/仮想マシンスケールセットとブート診断ストレージアカウントの両方に共同作成者レベル以上のアクセス権が必要です。

VM レベルの無効化

シリアルコンソールは、ブート診断設定を無効にすることで、特定の VM または仮想マシンスケールセットに対して無効にすることができます。 VM または仮想マシンスケールセットのシリアルコンソールを無効にするには、Azure portalからブート診断をオフにします。仮想マシンスケールセットでシリアルコンソールを使用している場合は、仮想マシンスケールセットインスタンスを最新のモデルにアップグレードしてください。

サブスクリプションレベルの有効化/無効化

注:

このコマンドを実行する前に、適切なクラウド (Azure Public Cloud、Azure US Government Cloud など) にあることを確認してください。を使用してチェックし、をaz cloud list使用してクラウドaz cloud set -n <Name of cloud>を設定できます。

Azure CLI

Azure CLI で次のコマンドを使用して、サブスクリプション全体に対してシリアルコンソールを無効にして再度有効にすることができます (コマンドを実行できる Azure Cloud Shellのインスタンスを起動するには、[Try it]\(試す\) ボタンを使用できます)。

サブスクリプションのシリアルコンソールを無効にするには、次のコマンドを使用します。

$subscriptionId=$(az account show --output=json | jq -r .id)

az resource invoke-action --action disableConsole --ids "/subscriptions/$subscriptionId/providers/Microsoft.SerialConsole/consoleServices/default" --api-version="2018-05-01"

サブスクリプションのシリアルコンソールを有効にするには、次のコマンドを使用します。

$subscriptionId=$(az account show --output=json | jq -r .id)

az resource invoke-action --action enableConsole --ids "/subscriptions/$subscriptionId/providers/Microsoft.SerialConsole/consoleServices/default" --api-version="2018-05-01"

サブスクリプションのシリアルコンソールの現在の有効/無効状態を取得するには、次のコマンドを使用します。

$subscriptionId=$(az account show --output=json | jq -r .id)

az resource show --ids "/subscriptions/$subscriptionId/providers/Microsoft.SerialConsole/consoleServices/default" --output=json --api-version="2018-05-01" | jq .properties

PowerShell

シリアルコンソールは、PowerShell を使用して有効または無効にすることもできます。

サブスクリプションのシリアルコンソールを無効にするには、次のコマンドを使用します。

$subscription=(Get-AzContext).Subscription.Id

Invoke-AzResourceAction -Action disableConsole -ResourceId /subscriptions/$subscription/providers/Microsoft.SerialConsole/consoleServices/default -ApiVersion 2018-05-01

サブスクリプションのシリアルコンソールを有効にするには、次のコマンドを使用します。

$subscription=(Get-AzContext).Subscription.Id

Invoke-AzResourceAction -Action enableConsole -ResourceId /subscriptions/$subscription/providers/Microsoft.SerialConsole/consoleServices/default -ApiVersion 2018-05-01

RBAC を使用したシリアルコンソールへの最小限の特権アクセスの有効化

シリアルコンソールへの最小限の特権アクセスを有効にするには、仮想マシン (シリアルコンソールにアクセスする必要がある仮想マシン) リソースグループまたは VM が存在するサブスクリプションに対する権限を持つ必要なアクセス許可を持つ Azure ロールを作成する必要があります。シリアルコンソールにアクセスする必要があるユーザーに、この Azure ロールを割り当てることができます。

作成するロールには、次の Azure Actions アクセス許可が必要です。

"Microsoft.Compute/virtualMachines/start/action",
"Microsoft.Compute/virtualMachines/read",
"Microsoft.Compute/virtualMachines/write",
"Microsoft.Resources/subscriptions/resourceGroups/read",
"Microsoft.Storage/storageAccounts/listKeys/action",
"Microsoft.Storage/storageAccounts/read",
"Microsoft.SerialConsole/serialPorts/connect/action"

次の表では、各 Azure アクションの動作について説明します。

Azure Action	説明
"Microsoft.Compute/virtualMachines/start/action"	仮想マシンを起動します
"Microsoft.Compute/virtualMachines/read"	仮想マシンのプロパティを取得する
"Microsoft.Compute/virtualMachines/write"	新しい仮想マシンを作成するか、既存の仮想マシンを更新します
"Microsoft.Resources/subscriptions/resourceGroups/read	リソースグループを取得または一覧表示します
"Microsoft.Storage/storageAccounts/listKeys/action"	指定したストレージアカウントのアクセスキーを返します
"Microsoft.Storage/storageAccounts/read"	ストレージアカウントの一覧を返すか、指定したストレージアカウントのプロパティを取得します
"Microsoft.SerialConsole/serialPorts/connect/action"	シリアルポートに接続する

以下の JSON を使用して、サブスクリプション内の VM とサブスクリプション内のリソースグループ内の VM への最小限の特権アクセス権を持つカスタムロールを定義できます。

リソースグループ内の VM へのアクセスのみを割り当てる場合は、以下のプロパティの最初の値 "/subscriptions/<subscriptionID>/" を assignableScopes 削除します。

サブスクリプション内の VM へのアクセスを割り当てる場合は、次のプロパティの 2 番目の値 "/subscriptions/<subscriptionID>/resourceGroups/<resourceGroup>" を assignableScopes 削除します。

"properties": {
    "roleName": "Azure Serial Console Access Role",
    "description": "Serial Console access with least privilege.",
    "assignableScopes": [
        "/subscriptions/<subscriptionID>/"
        "/subscriptions/<subscriptionID>/resourceGroups/<resourceGroup>"
    ],
    "permissions": [
        {
            "actions": [
                "Microsoft.Compute/virtualMachines/start/action",
                "Microsoft.Compute/virtualMachines/read",
                "Microsoft.Compute/virtualMachines/write",
                "Microsoft.Resources/subscriptions/resourceGroups/read",
                "Microsoft.Storage/storageAccounts/listKeys/action",
                "Microsoft.Storage/storageAccounts/read",
                "Microsoft.SerialConsole/serialPorts/connect/action"
            ],
            "notActions": [],
            "dataActions": [],
            "notDataActions": []
        }
    ]
}

Azure portalを使用してシリアルコンソールへの最小限の特権アクセス用のカスタムロールを作成する方法については、次のドキュメント「Azure portal を使用して Azure カスタムロールを作成または更新する」を参照してください。

手順 1: 必要なアクセス許可を決定します。ロールに必要なアクセス許可は、上記の Azure アクションです。

[手順 5: 割り当て可能なスコープ] で、ロールを持つユーザーのみが特定の VM のシリアルコンソールにアクセスできるようにする場合は、スコープを VM のリソースグループに設定します。ユーザーがサブスクリプション内の任意の VM にシリアルコンソールアクセスできるようにする場合は、スコープをサブスクリプションに設定することもできます。

Azure portalを使用してロールを割り当てる方法については、次のドキュメント「Azure portal を使用して Azure ロールを割り当てる」を参照してください。

次の手順

お問い合わせはこちらから

質問がある場合やヘルプが必要な場合は、サポート要求を作成するか、Azure コミュニティサポートにお問い合わせください。 Azure フィードバックコミュニティに製品フィードバックを送信することもできます。

Azure シリアル コンソールを有効または無効にする

VM レベルの無効化

サブスクリプション レベルの有効化/無効化