Azure Enclave で Privileged Identity Management を使用してジャストインタイム アクセスを構成する

Azure EnclaveリソースはAzureロールベースアクセス制御(RBAC)で保護されており、Microsoft Entra Privileged Identity Management(PIM)を使ってそのアクセスを許可するロールに対してジャストインタイム(JIT)アクセスを提供できます。 PIMはユーザーが特定のタスクを実行するための一時的かつ期限のあるロール割り当てを要求できるため、過剰プロビジョニングや不正な操作のリスクを低減します。 この記事では、PIMを使ってAzure EnclaveリソーススコープへのJITアクセスを設定する方法を説明します。

Microsoft Entra Privileged Identity Management(PIM)は、Azure環境内でアクセスを管理、制御、監視するのに役立つサービスです。 Azure Enclaveのサブスクリプションやリソースグループに割り当てられたAzureロールをPIMで管理すると、ロールベースアクセスのための管理された安全なアクティベーションワークフローを強制できます。 Azure Enclaveには、エンクレイブ作成、保守モードの変更、接続やエンドポイントの更新など、特定のリソースアクションを管理する別個の組み込み承認機能も備えています。 PIM と承認機能は独立した制御であり、互いに依存していません。

概要

PIMとAzure Enclaveの役割を組み合わせることで、以下の機能が得られます:

• 適格な役割割り当て:常設アクセス権を与える代わりに、ユーザーにコミュニティオーナーやエンクレイブオーナーなどの役割の資格を与えます。 ユーザーは必要な時だけロールを有効化します。
• 承認ゲート付きアクティベーション:申請者がアクセスを得る前に、承認者がロールアクティベーションのリクエストを確認し承認することを要求できます。
• 時間制限付きアクセス:設定された最大期間が経過すると、アクティベートされたロールは自動的に取り消され、特権アクセスのウィンドウが短縮されます。
• 監査:PIMはアクティベーションのリクエスト、承認、却下、期限切れを記録し、誰がいつ機密リソースにアクセスしたかを追跡できます。

このアプローチは最小権限の原則に沿い、組織がAzure Enclaveで強力なセキュリティ体制を維持するのに役立ちます。

前提条件

PIMでJITアクセスを設定する前に、以下のことを必ず確認してください:

• 有効な Azure サブスクリプション。
• PIMをサポートするMicrosoft Entra IDライセンス。
• PIM管理の権限、例えばMicrosoft Entra IDのPrivileged Role Administratorロールや、ターゲットサブスクリプションやリソースグループでのOwnerやUser Access Administratorなどです。
• PIM で管理したい 1 つ以上の組み込みの Azure Enclave ロール（たとえば、コミュニティ オーナー、エンクレーブ オーナー、エンクレーブ アプローバー ロール）

PIMでJITアクセスを設定する

手順 1: Privileged Identity Managementを有効にする

1. Azure portal で、Microsoft Entra ID に移動します。
2. メニューから Privileged Identity Management を選択します。
3. 画面の指示に従って、ディレクトリの PIM を有効にします。

ステップ2:エンクレイブ資源の役割を割り当てる

1. PIMダッシュボードでAzureリソースを選択します。
2. Azure Enclaveリソースを含むサブスクリプションまたはリソースグループを選択してください。
3. 組み込みのAzure Enclaveロールをユーザーやグループに適格な割り当てとして割り当ててください。 一般的な役割には以下が含まれます:
   • Community Owner: コミュニティ、エンクレイブ、コミュニティエンドポイント、トランジットハブリソースの管理に完全アクセス権を提供します。
   • Enclave Owner: 1つ以上のエンクレーブのワークロード、エンドポイント、接続を管理するための完全なアクセス権。
   • Enclave Reader または Community Reader:監視とコンプライアンスのための読み取り専用アクセス。
   • Enclave Approver Role: 読み取り専用アクセスに加え、保留中の承認リクエストを承認または拒否する権限。
4. 各役割ごとに以下の設定を設定してください:
   • Assignment type: Eligible に設定されており、JITアクセスのためにロールのアクティベートが必要です。
   • Assignment scope: 役割をエンクレイブ管理リソースグループやワークロードリソースグループなど特定のリソースに限定してください。

手順 3: 承認設定を定義する

1. PIMで役割の設定に行ってください。
2. 有効化に承認を必要とするを有効にする。
3. 管理者やプロジェクトマネージャーなどの承認者を指定し、アクセスリクエストを検証します。
4. リクエストが行われたり承認されたりした際に通知 を設定し、承認 者やユーザーに通知を送ります。

ステップ4:アクティベーションポリシーの設定

役割の設定で、起動条件を定義します:

• 最大有効期間:承認後に役割が有効となる期間(1時間や8時間など)を設定します。
• 多要素認証を義務付ける:すべてのアクティベートに対してMFAを義務付けます。
• 理由: アクセスを要求する理由をユーザーに提供するよう要求します。

手順 5: 構成をテストする

1. 構成されたロールをテスト ユーザーに割り当てます。
2. ユーザーに次のロールのアクティブ化を申請させます:
   1. ユーザーは PIM dashboard に行き、 My rolesを選択します。
   2. ユーザーは役割を選択し、正当化したアクティベーションリクエストを送信します。
3. 要求を承認してワークフローを検証します。
4. 指定した期間が経過すると、アクセス許可が付与され、自動的に取り消されることを確認します。

Azure EnclaveにおけるJITアクセスの利点

• 強化されたセキュリティ:

  • 時間制限付きアクセスにより、機密性の高いリソースへの露出が最小限に抑えられます。
  • 条件付きアクセスでは、強力な ID とデバイスの検証が適用されます。

• 運用の柔軟性:

  • ユーザーは特定のタスクに必要な権限を迅速に申請し、受け取ることができます。
  • 承認者は、エンクレーブ リソースにいつ誰がアクセスするかを制御できます。

• コンプライアンスと監査可能性:

  • すべてのアクセスリクエスト、承認、アクションのログは監査のトレーサビリティを提供します。
  • Azure MonitorやMicrosoft Sentinelなどのツールとの統合により、可視性が向上します。

関連するコンテンツ

• Azure Enclave における組み込みのRBACロールを理解してください
• Azure エンクレーブで承認を構成する
• Azure Enclave の承認について理解する
• Microsoft Entra 条件付きアクセス ポリシー
• Azure Monitor の概要
• Microsoft Sentinelの概要