Skip to content

MS_AzurePortalAndARMAPI

Jump to bottom
nishi_74322014 edited this page Aug 19, 2026 · 1 revision

Azureの管理ポータルとARM API

概要

Azure を操作するインターフェイス

詳細

管理用I/F

管理用 I/F には、以下の 2 つがある。

管理ポータル

https://portal.azure.com

ARM API

  • コチラが聞き慣れない人が多い物件。
  • 要するに、ARM操作を行うREST APIらしい。
  • Azureのシェルの裏側で動作している。

補足（ARM API が「唯一の入口」である）: 本文の
「Azure のシェルの裏側で動作している」という指摘が要点で、
実際にはすべての操作が ARM API に集約されている。

管理ポータル ┐
Azure CLI    ├──→ 【ARM API】──→ 各リソース プロバイダー ──→ 実リソース
PowerShell   │      (REST)          (Microsoft.Compute 等)
ARM/Bicep    │
Terraform    ┘

これを理解していると、次のことが腑に落ちる。

事象 理由
ポータルでできることは CLI でもできる 同じ API を叩いているため
RBAC はどの経路でも同じように効く 権限判定は ARM 層で行われるため（Azureのアクセス制御と権限）
監査ログ（アクティビティ ログ）に全操作が残る ARM が記録するため。ポータル操作も CLI 操作も同列に残る
ポータルで作った構成をテンプレート化できる ARM が受け取った要求をそのまま JSON で出せるため（Azure上に素早く環境を構築する）

また、az コマンドに --debug を付けると
実際に送信している REST 要求を確認できる。
ドキュメントに無い操作を調べる際に有用である。

補足（ASM と ARM）: 参考リンクにある「ASM と ARM の違い」は、
Azure の世代交代の話である。

ASM（クラシック） ARM（現行）
別名 Service Management、v1 Resource Manager、v2
リソースの単位 サービスごとにバラバラ リソース グループでまとめる
権限 共同管理者（実質すべての権限） RBAC（細かく制御可能）
デプロイ 逐次 テンプレートで宣言的・並列
タグ 無い ある
現状 廃止済み 現行

ASM は既に廃止されており、現在 Azure に触れる限り
目にするのはすべて ARM である。
ただし、古い記事やスクリプト（Add-AzureAccount、azure コマンド等）は
ASM 前提のことがあるため、
Az / az かどうかで見分ける必要がある。

閉域化

AzAD

Azure Active Directory（＋条件付きアクセス）

L7 プロキシ

L7 プロキシを使用

補足（なぜ「管理ポータルの閉域化」が難しいのか）: 本文が
「CDN も利用するので」と書いている点が核心である。

管理ポータル（portal.azure.com）は単一の宛先ではない。

  • ポータルの画面自体（JS/CSS）は CDN から配信される、
  • 各サービスのブレード（画面）はそれぞれ別のエンドポイントを叩く、
  • 認証は login.microsoftonline.com、
  • 実操作は management.azure.com（ARM API）

というように、多数の FQDN に分散している。
したがって、

手段 実現性
IP アドレスでのフィルタ 困難（CDN の IP は変動する）
FQDN ベースのフィルタ（L7 プロキシ / Azure Firewall） 本文の方式。FQDN 一覧の維持が必要
条件付きアクセス（送信元 IP / デバイス準拠） こちらが本命。Entra ID 側で「どこから来たか」を条件に許可

つまり、

  • 「経路を塞ぐ」（L7 プロキシ・Firewall）よりも、
  • 「認証時に弾く」（条件付きアクセス）

の方が、管理ポータルに対しては現実的かつ確実である。
本文が AzAD（＋条件付きアクセス）を先に挙げているのは
この理由によると読める。

実務では、

  1. 条件付きアクセスで「Microsoft Azure 管理」アプリへのアクセスを
    信頼できる場所（社内 IP / 準拠デバイス）からのみに限定し、
  2. 加えて**踏み台（Bastion / 管理用 VM）**からのみ操作させる

という二段構えにするのが一般的である。
詳細はAzureのアクセス制御と権限を参照。

参考

Tags: 移行, シェル, インフラストラクチャ, クラウド, Azure

このWikiは「Open棟梁Project」,「OSSコンソーシアム 開発基盤部会」によって運営されています。

NetDevInfraWiki

マイクロソフト系技術情報 Wiki
Open 棟梁 Wiki

（未着手）

開発基盤部会 Wiki

移行管理: DONE ／ TODO

Clone this wiki locally