Microsoft Defender統合 RBAC を使用してカスタム ロールを作成する

この記事では、Microsoft Defender の統合されたロールベースのアクセス制御 (RBAC) でカスタム ロールを作成する方法について説明します。 Microsoft Defender統合 RBAC を使用すると、特定のアクセス許可を持つカスタム ロールを作成し、ユーザーまたはグループに割り当てることができ、ポータル エクスペリエンスへのアクセスをきめ細かく制御Microsoft Defender。

Microsoft Sentinel データ レイクのカスタム ロールの作成は、プレビューでサポートされています。 開始する前に、この記事に記載されている 前提条件を 満たしていることを確認してください。

前提条件

Microsoft Defender の統合 RBAC でカスタム ロールを作成するには、次のいずれかのロールまたはアクセス許可が割り当てられている必要があります。

• 少なくともMicrosoft Entra IDのセキュリティ管理者。
• Microsoft Defender の統合 RBAC で割り当てられているすべての認可アクセス許可。

アクセス許可の詳細については、「 アクセス許可の前提条件」を参照してください。

セキュリティ操作またはデータ操作アクセス許可グループを使用してMicrosoft Sentinel データ レイクのカスタム ロールを作成するには、Microsoft Sentinelに対して Log Analytics ワークスペースを有効にして Defender ポータルにオンボードする必要があります。

• Microsoft Sentinel を接続する
• Microsoft Defender ポータルにMicrosoft Sentinelを接続する

カスタム役割を作成する

次の手順では、Microsoft Defender ポータルでカスタム ロールを作成する方法について説明します。

1. Microsoft Defender ポータルにサインインします。 横のナビゲーション ウィンドウで、下にスクロールして [ アクセス許可] を選択します。

2. [アクセス許可] ページの [Microsoft Defender XDR] で、[ロール>カスタム ロールの作成] を選択します。

3. 開いたウィザードの [ 基本 ] タブで、ロール名とオプションの説明を入力し、[ 次へ] を選択します。

4. [ アクセス許可の選択 ] ページで、必要に応じて次の各項目を選択して、その領域のアクセス許可を構成します。

   • セキュリティ操作: 日常的な操作を管理し、インシデントとアドバイザリに対応するロールのアクセス許可。
   • セキュリティ態勢: 組織のセキュリティ態勢を管理し、Defender 脆弱性の管理 を実行するロールに対するアクセス許可。
   • 承認と設定: 承認、セキュリティ設定、システム設定などのポータル構成を変更するロールのアクセス許可。
   • データ操作 (プレビュー): 組織のセキュリティ データを管理し、高度な分析機能のアクセス許可を制御するためのアクセス許可。 Microsoft Sentinel データ レイクのデータ収集でサポートされます。

   各アクセス許可グループの説明列にカーソルを合わせると、そのグループで使用できるアクセス許可の詳細な説明が表示されます。

   選択したアクセス許可グループごとに、追加の [承認と設定] サイド ウィンドウのスライドが開きます。ここで、ロールに割り当てる特定のアクセス許可を選択できます。

   [すべての読み取り専用アクセス許可] または [すべての読み取りおよび管理アクセス許可] を選択した場合、これらのカテゴリに後で追加された新しいアクセス許可も、このロールの下に自動的に割り当てられます。

   詳細については、「Microsoft Defender統合ロールベースのアクセス制御 (RBAC)のアクセス許可」を参照してください。

5. 選択した各アクセス許可グループのアクセス許可の割り当てを完了したら、[ 適用 ] を選択し、[ 次へ ] を選択して、選択した残りのアクセス許可グループの構成を続行します。

   注:

   すべての読み取り専用アクセス許可またはすべての読み取りおよび管理アクセス許可が割り当てられている場合、それらのアクセス許可カテゴリに今後追加される新しいアクセス許可は、このロールの下で自動的に割り当てられます。

   カスタム アクセス許可を割り当て、新しいアクセス許可が同じカテゴリに追加された場合は、必要に応じて新しいアクセス許可でロールを再割り当てする必要があります。

6. 関連するアクセス許可グループのアクセス許可を選択したら、[ 適用 ] を選択し、[ 次へ ] を選択してユーザーとデータ ソースを割り当てます。

7. [ ユーザーとデータ ソースの割り当て ] ページで、[ 割り当ての追加] を選択します。

   1. [ 割り当ての追加 ] サイド ウィンドウで、次の詳細を入力します。

      • 割り当て名: 割り当てのわかりやすい名前を入力します。
      • 従業員: Microsoft Entraセキュリティ グループまたは個々のユーザーを選択して、ユーザーをロールに割り当てます。
      • • リモートテナントグループ:この役割に割り当てるGDAPリモートテナントグループを1つ以上選択します。 選択したリモートテナントグループのメンバーであるユーザーは、この割り当てで設定された権限、データソースアクセス、適用されるスコープを継承します。 このオプションにより、組織は確立されたGDAP関係を通じてMicrosoft Defenderの統一RBAC権限を外部テナントに拡張できます。
      • データ ソース: [ データ ソース ] ドロップダウンを選択し、割り当てられたユーザーが選択したアクセス許可を持つサービスを選択します。 Microsoft Defender for Endpointなど、1 つのデータ ソースに読み取り専用アクセス許可を割り当てた場合、割り当てられたユーザーは他のサービス (Office 365のMicrosoft Defenderなど) でアラートを読み取ることはできませんMicrosoft Defender for Identity。
      • データ コレクション: この割り当てで割り当てられたユーザーには、使用可能なすべてのSentinel ワークスペース全体、または選択したワークスペースに対してのみアクセス許可を付与できます。 たとえば、"セキュリティ操作 - 読み取り専用アクセス許可" を持つロールが作成された場合、1 つのチームに US-Workspace と UK-Workspace にこのロールが割り当てられ、これらのソースからのすべてのアラートにアクセスできるようになります。 同じロールに対して別の割り当てを作成することで、組織内の別のチームに、Sentinel UK-Workspace の UK-Workspace アラートのみにアクセス権を付与できます。

   2. Microsoft Defender の統合 RBAC でサポートされているその他すべてのデータ ソースを含めるには、将来のデータ ソースを自動的に含める を選択します。 このオプションを選択すると、統合 RBAC サポート用に追加された将来のデータ ソースも自動的に割り当てに追加されます。

   3. [割り当ての追加] サイド ウィンドウの [データ コレクション] 領域に、既定Microsoft Sentinelデータ レイクが既定で一覧表示されます。 [ 編集] を 選択して、データ レイクへのアクセスを削除するか、カスタム データ レイクの選択を定義します。

   注:

   Microsoft Defender統合 RBAC では、同じロールで必要な数の割り当てを同じアクセス許可で作成できます。 たとえば、すべてのデータ ソースにアクセスできるロール内に割り当てを割り当て、Defender for Endpoint データ ソースからのエンドポイント アラートへのアクセスのみを必要とするチームに対して個別の割り当てを行うことができます。 これにより、ロールの最小数を維持できます。

8. [ ユーザーとデータ ソースの割り当て] ページに戻り、[ 次へ ] を選択してロールと割り当ての詳細を確認します。 [ 送信] を 選択してロールを作成します。

ロールと権限にアクセスし、管理するためのロールを作成する

承認アクセス許可は、ユーザーが Microsoft Defender ポータルでロールとアクセス許可を表示、作成、管理できるようにする統合 RBAC アクセス許可です。 Microsoft Entra IDのセキュリティ管理者でない場合は、ロールとアクセス許可にアクセスして管理するための承認アクセス許可を持つロールが必要です。 このロールを作成するには:

1. Microsoft Defender ポータルにセキュリティ管理者以上としてサインインします。

2. ナビゲーション ウィンドウで、[アクセス許可] > Microsoft Defender XDR > [ロール] > [カスタム ロールの作成] を選択します。

3. ロールの名前と説明を入力し、[ 次へ] を選択します。

4. [ 承認と設定] を選択し、[ 承認と設定 ] サイド ウィンドウで [ カスタム アクセス許可の選択] を選択します。

5. [ 承認] で、次のいずれかのオプションを選択します。

   • すべてのアクセス許可を選択します。 ユーザーは、ロールとアクセス許可を作成および管理できます。
   • 読み取り専用。 ユーザーは、読み取り専用モードでロールとアクセス許可にアクセスして表示できます。

   例:

   

6. [ 適用] を選択し、[ 次へ ] を選択してユーザーとデータ ソースを割り当てます。

7. [ 割り当ての追加] を選択し、[ 割り当て名] を入力します。

8. 承認アクセス許可で割り当てられたユーザーのアクセス スコープを構成するには、次のいずれかのアクセス設定を選択します。

   • すべてのデータ ソースを選択する: すべてのデータ ソースのロールを作成および管理するためのアクセス許可をユーザーに付与します。
   • 特定のデータ ソースを選択する: 特定のデータ ソースのロールを作成および管理するためのアクセス許可をユーザーに付与します。 たとえば、ドロップダウンから [Microsoft Defender for Endpoint] を選択して、Microsoft Defender for Endpoint データ ソースに対してのみ承認アクセス許可をユーザーに付与します。
   • Microsoft Sentinel data lake collection: Microsoft Sentinel data lake のデータ コレクションに対する Authorization 権限をユーザーに付与します。

9. [割り当てられたユーザーとグループ] で、ロールを割り当てるMicrosoft Entraセキュリティ グループまたは個々のユーザーを選択し、[追加] を選択します。

10. [ 次へ ] を選択してロールの確認と作成を完了し、[送信] を選択 します。

Microsoft Defender for Identityのスコープ付きロールを構成する

Microsoft Defender for Identity (MDI) によって管理される ID に対して、Microsoft Defender 統合 RBAC (URBAC) モデルを使用してスコープ付きアクセスを構成できます。 これにより、特定の Active Directory ドメインまたは組織単位へのアクセスと可視性を制限し、チームの責任に合わせて調整し、不要なデータの公開を減らすことができます。

詳細については、「Microsoft Defender for Identityのスコープ付きアクセスを構成する」を参照してください。

Cloud のMicrosoft Defenderのスコープ付きロールを構成する

Microsoft Defender for Cloudによって管理されるリソースのMicrosoft Defender統合 RBAC モデルを使用して、スコープ付きアクセスを構成できます。 これにより、特定のサブスクリプション、リソース グループ、または個々のリソースへのアクセスと可視性を制限できます。 スコープ付きロールを適用することで、チーム メンバーが自分の責任に関連する資産のみを表示および管理し、不必要な露出を減らし、運用上のセキュリティを向上させます。

詳細については、「 クラウド スコープの管理」と「統合されたロールベースのアクセス制御」を参照してください。

Microsoft Defender for Endpoint デバイス グループの適用範囲に関する考慮事項

Microsoft Defender for Endpoint のデバイス グループは、統合 RBAC と併せて、デバイスごとの可視性と操作を引き続き制御します。 URBAC ロールを作成またはインポートすると、デバイス グループの割り当てによって、割り当てられたユーザーが表示および操作できるデバイスが決まります。 適切なスコープを確保するために、MICROSOFT DEFENDER ポータルで URBAC ロールの割り当てとは別にデバイス グループを構成します。

詳細については、「Microsoft Defender for Endpointでのデバイス グループの作成と管理」を参照してください。

次の手順

カスタム ロールを作成したら、次の関連タスクに進みます。

• 既存の RBAC ロールをインポートする
• Microsoft Defender の統合 RBAC を有効にする