Skip to main content

​
Microsoft Azure Authorization について

Microsoft Azure Authorization ソースは、接続したサブスクリプションから Azure RBAC のロール割り当てとロール定義、および Azure Policy の定義と割り当てを読み取ります。Iru のエビデンスには、誰が何にアクセスできるか と どのポリシーが割り当てられているか が反映されます。Iru が Azure に変更を書き戻すことはありません。Iru はサインインしたユーザーに代わって Azure Resource Manager に対して 委任された OAuth 2.0 を使用するため、収集はそのユーザーの既存の Azure 権限に従います。

​
仕組み

Iru は Azure Resource Manager（management.azure.com）に対して、Microsoft の OAuth 2.0 認可コードフロー（委任されたアクセス許可）を使用します。ポップアップでサインインして同意すると、Iru は有効期間の短いアクセストークンを受け取り、自動的に更新します（該当する場合はリフレッシュトークンのローテーションを含みます）。 要求される OAuth スコープは次のとおりです: https://management.azure.com/user_impersonation これにより、サインインしたユーザーとして ARM API への 読み取り アクセスが付与されます。アクセスは、サブスクリプションに対するそのユーザーの RBAC によって制限されます。

​
Iru が収集する内容

Iru がロール割り当てやポリシー構成を変更することは ありません。 公式リファレンス: Azure RBAC のドキュメント、REST API、ロール割り当ての一覧表示（概念）、組み込みロール、OAuth 2.0 認可コードフロー。

​
前提条件

  • Azure portal にサインインできる Microsoft Entra ID アカウント。
  • Iru に読み取らせる サブスクリプション に対する、少なくとも組み込みの Reader ロール（または同等の読み取りアクセス権）。これには、割り当て、定義、ポリシーのメタデータに対する Microsoft.Authorization/*/read が含まれます。
  • ソースを有効にしたときにコネクタウィザードが開けるよう、ブラウザの ポップアップ が許可されていること。
アクセス権を確認するには: Subscriptions → 対象のサブスクリプション → Access control (IAM) → View my access を開き、そのスコープで Reader（またはそれ以上）があることを確認します。 ロールの割り当てが必要な場合は、サブスクリプションの管理者が Azure CLI を使用できます（プレースホルダーを置き換えてください）:

​
Microsoft Azure Authorization を Iru に接続する

まず Microsoft Azure でポータルへのアクセスと Reader の対象範囲を確認してから、Iru Compliance で OAuth を完了します。ウィザードには Step 1 of 1: Perform OAuth Authentication と表示されます。
Iru Compliance で OAuth を開始する前に、このタブの手順を完了してください。
1

Azure portal にサインインする

portal.azure.com を開き、Iru ウィザードで使用する Microsoft Entra ID アカウント（Iru に読み取らせるのと同じテナント）でサインインします。
2

対象のサブスクリプションを開く

Subscriptions を検索し、Iru が Authorization のメタデータ（ロール割り当て、定義、ポリシー）を収集する サブスクリプション を開きます。
3

Reader アクセス権を確認する

サブスクリプションで Access control (IAM) → View my access を開きます。前提条件 で説明したとおり、Reader（またはこのスコープで Microsoft.Authorization/*/read を含む別のロール）が表示されることを確認します。
4

ブラウザでポップアップを許可する

コネクタウィザードから Microsoft の同意画面を開けるよう、Iru のホスト名に対して ポップアップ を許可します。
5

マルチテナントの注意点を確認する

会社で複数の Microsoft Entra ID テナントを使用している場合は、同じブラウザプロファイルで個人用 Microsoft アカウントからサインアウトするか、プライベートウィンドウを使用して、OAuth ポップアップで 正しい 職場アカウントが選択されるようにします。
Iru Compliance タブに進んでください。
Authorization のメタデータは サブスクリプション スコープで読み取られます。複数のサブスクリプション をカバーするには、サブスクリプションごとにこのフローを繰り返すか、必要な各サブスクリプションで Reader を持つアカウントを使用します。

​
トラブルシューティング

Iru サイトの ポップアップブロッカー の設定を確認して、もう一度お試しください。
認証するアカウントに サブスクリプション の Reader ロールがあることを確認してください（前提条件 を参照）。
組織に複数のテナントがある場合は、Microsoft のポップアップから サインアウト し、正しい テナントのアカウントでサインインしてください。
接続がアクティブな間、アクセストークンは約 1 時間ごとに更新されます。更新が中断された場合（例: 長期間アクティビティがなかった後）、カードに Broken と表示されることがあります。ソースを オフ にしてから オン にし、OAuth を再度完了してください。

​
関連記事

Sources の管理

すべての Compliance ソースを参照、管理します。

Compliance を使い始める

フレームワーク、アクション、アーティファクト。

Iru の概要

Endpoint、Compliance、Identity がどのように連携するか。

Artifacts の管理

ソースやアクションから得たエビデンスをアップロード、確認、整理します。