【AZ-900】ロールベースのアクセス制御（RBAC）とは？権限管理の重要な仕組みを解説！｜AZ START

どうも、フリーランスエンジニアのMakotoです。

今回は、ロールベースのアクセス制御（RBAC）について解説します。

Microsoft Entra IDで管理されるユーザーに適切な権限を付与するための重要な仕組みです。ぜひ、最後までお読みください。

Microsoft Entra IDってなに？

という方はこちらの記事を先にチェックされることをオススメします！

それではいってみましょう！

Table of Contents

ロールベースのアクセス制御（RBAC）とは？

ロールベースのアクセス制御（Role Based Access Control）は、Azureリソースに対するアクセス権を管理するための仕組みです。略してRBAC（アールバック）を呼びます。

Microsoft Entra IDにユーザーを登録したところで仮想マシンなどのリソースに対して作成・変更・削除の操作ができるわけではないので、RBACの仕組みによりアクセス権を割り当てます。

RBACという用語だけ聞くと難しそうに聞こえますが、仕組みはWindowsやLinuxのファイルの権限管理と似ています。

簡単な例を挙げます。

以下の画面は、サブスクリプション > リソースグループ > リソースの階層構造をエクスプローラーで表したものです。ファイル=リソースと捉えてください。

この例では「リソースグループA」というフォルダに対して、Everyoneがフルコントロールできるようにプロパティから設定しようとしています。

これは少し極端な例ですが、RBACでAzureのリソースに対してアクセス権を割り当てる場合も、どのスコープに対して、誰に、どんな権限（ロール）を割り当てるのかを設定します。

まず、スコープを選択します。

親スコープに対して付与するアクセス権は子スコープに継承されます。

Azureリソースの階層構造についてはこちらの記事で解説しています。

「誰に」の部分は単一のユーザーを選択することもできますが、一般的には先にグループで整理しておいて、グループに対してアクセス権を付与します。

そして、どんな操作を許可するのか、アクセス権を付与します。このアクセス権のことをAzureでは「ロール（役割）」と呼びます。

Azureでは、一般的なアクセス規則が記述された「組み込みロール」が初めから用意されていますが、利用者が独自のロール（カスタムロール）を作成することも可能です。

組み込みロールの一例として次のようなロールがあります。

実際にロールを割り当てる場合、最初にサブスクリプション、リソースグループ、リソースいずれかの画面にある「アクセス制御（IAM）」を開きます。

IAMは「Identity and Access Management」の略で直訳すると「IDとアクセス管理」という意味です。AWSやGCPでも登場する一般的な用語です。

少しわかりにくいかもしれないのでもう一度書きます。最初はまずスコープのリソースに遷移します（どのスコープにも共通してアクセス制御のメニューがあります）

追加ボタン → ロールの割り当ての追加から操作を開始できます。ここではリソースグループに対して設定します。

まず、ロールを選択します。組み込みロールがずらっと表示されるので、ここではその中の「共同作成者」を選択します。

次のメンバータブでは、「誰に」を選択します。ここでは「インフラグループ」を選択しました。マネージドIDについては後述します。

最後に内容を確認して割り当てを実行します。

割り当てた結果は「ロールの割り当て」タブから確認できます。

リソースグループ内のリソース（ここでは仮想ネットワーク）のアクセス制御（IAM）から確認してみると「共同作成者」のロールが継承されていることがわかります。

これまで、「誰に」の部分を人間前提で解説していますが、Microsoft Entra IDにおける身元を表すIDにはユーザー = 人を含めて次のような種類があります。

IDの種類	説明
ユーザー	Azureポータルなどからアクセスする組織の従業員や招待されたゲスト
サービスプリンシパル	アプリケーションに割り当てるID
マネージドID	仮想マシンなどAzureリソースに割り当てるID
デバイス	モバイル端末やラップトップなどのハードウェア