Skip to content

MS_AzADConditionalAccess

Jump to bottom
nishi_74322014 edited this page Aug 19, 2026 · 1 revision

AzADによる条件付きアクセス機能を構成する。

概要

  • Azure Active Directory による条件付きアクセス機能を構成する。

  • Azure だと、サービス毎に IP アドレス制限するではなく、
    アカウント毎に IP アドレス制限するで制限する（故に、Azure Active Directory で）。

補足（この一文が要点）: 「サービス毎ではなくアカウント毎」という指摘は、
オンプレミスとクラウドの発想の違いを端的に表している。

【オンプレミス的】 サービスの前に FW を置き、送信元 IP で絞る
   → クラウドの ARM API（management.azure.com）は共有エンドポイントなので
     「このサービスだけ絞る」ということが原理的にできない

【クラウド的】 ID の側で「どこから来た誰か」を判定して許可する
   → 条件付きアクセス

AKSをセキュアに利用するためのテクニカルリファレンス が
「ARM API がパブリックなので Master API だけプライベートではアンバランス」と
述べているのは、この文脈である。
ARM API を守る手段は条件付きアクセスしかない、というのが
本ページが置かれている理由。

詳細

補足（原文がリンク中心のため、構成の要点を補う）

ポリシーの構造

条件付きアクセスは **「割り当て（誰が・何に・どんな条件で）」と
「アクセス制御（許可 / ブロック）」**の組み合わせで記述する。

【割り当て】
  ユーザー      : 対象グループ（除外: 緊急事態用アカウント）
  ターゲット    : クラウド アプリ「Microsoft Azure Management」
  条件          : 場所（信頼できる場所 以外）
         ↓
【アクセス制御】
  ブロック  または  許可（MFA を要求 / 準拠デバイスを要求）

ARM API（ポータル、Azure CLI、Azure PowerShell、
az aks コマンド全般）を対象にする場合、
クラウド アプリとして **「Microsoft Azure Management」**を選ぶ。
これ 1 つでポータル・CLI・PowerShell がまとめて対象になる。

IP アドレスで絞る場合

  1. **名前付きの場所（Named locations）**に
    社内の出口 IP レンジを登録し、「信頼できる場所」としてマークする。
  2. ポリシーの条件で「場所」を選び、
    「すべての場所」を対象に、「信頼できる場所」を除外する。
  3. アクセス制御で「ブロック」を選ぶ。

※ 「信頼できる場所のみ許可」ではなく
「信頼できる場所以外をブロック」と書くのが定石。
前者は新しい場所が増えたときに漏れやすい。

必ず守るべき運用上の注意

  • 緊急事態用アカウント（break glass）を必ず除外する
    除外し忘れると、設定ミスで全員が締め出される。
    除外したアカウントのサインインは
    Azure Alerts で検知・通知すること。
    詳細は Azure Subscriptionの管理@エンプラ、
    AzADのテナント作成方法 を参照。

  • 必ず「レポート専用」モードで先に評価する
    実際にブロックせずに、影響を受けるサインインを確認できる。

  • サービス プリンシパル（SPN）には効かない
    条件付きアクセスは基本的にユーザーのサインインが対象で、
    CI/CD が使う SPN には適用されない
    （別途「ワークロード ID の条件付きアクセス」が必要）。
    人手の操作は絞れても、自動化経路は残る点に注意。

  • ライセンス
    条件付きアクセスは Microsoft Entra ID P1 以上が必要。

名前の変更

Azure AD は Microsoft Entra ID に、
条件付きアクセスは Microsoft Entra 条件付きアクセスに改称されている。

参考

Japan Azure Identity Support Blog

Microsoft Learn

Azure Active Directory 条件付きアクセス

Tags: 移行, クラウド, コンテナ, Azure, Active Directory, AKS, セキュリティ, 通信技術, 認証基盤

このWikiは「Open棟梁Project」,「OSSコンソーシアム 開発基盤部会」によって運営されています。

NetDevInfraWiki

マイクロソフト系技術情報 Wiki
Open 棟梁 Wiki

（未着手）

開発基盤部会 Wiki

移行管理: DONE ／ TODO

Clone this wiki locally