Azureでカスタムロールを設定する
このドキュメントでは、クライアント資格情報を持つ新しいApp Registrationと、Aikido VMスキャン用のカスタムRBACロールの作成方法を説明します。
この資格情報は、Aikidoが仮想マシンをスキャンするために必要なAPIリクエストを行う際に使用されます。仮想マシンをスキャンするアクセス権は、カスタムロールを通じてApp Registrationに付与されます。
これらの権限は、仮想マシンスキャンに必要な最小限のものに限定されています。
以下の手順で作成します。
Azure Portal にログインし、Microsoft Entra ID service に移動します。
Add をクリックし、App registration を選択します。
アプリケーションにわかりやすい名前を付けます。この名前は後で使用します。
Supported account types はデフォルト値の Accounts in this organizational directory only のままにしておきます。
Register をクリックします。
新しく作成されたアプリケーションの詳細ページにリダイレクトされます。ここで Application (client) ID と Directory (tenant) ID を見つけてコピーできます。
クライアント資格情報のフィールドで、「Add a certificate or secret」をクリックします。
「New client secret」ボタンをクリックし、シークレットの説明を入力して、有効期限を2年(730日／24ヶ月)に設定します。
Secret’s Value をコピーします。
Azure Portal側のアプリケーション設定が完了すると、AikidoでVMスキャンを設定するために必要な値がすべて揃います。次に、このアプリケーションにVMスキャン用のアクセス権を付与する必要があります。
Subscriptions に移動し、対象の仮想マシンが属するサブスクリプションを見つけます。
“Access Control (IAM)” をクリックします。
“Add” ボタンをクリックします。
“Add custom role” を選択します。
“JSON” タブに移動し、“Edit” をクリックしてエディタを開きます。
Aikidoの設定画面から生成されたJSON設定をコピーし、エディタに貼り付けます。
“Save” をクリックします。
画面下部の “Review + assign” をクリックし、続けて “Create” をクリックします。
カスタムロールが作成されたので、最初に作成したApp Registrationにこのロールを割り当てます。
Subscriptions に移動し、対象の仮想マシンが属するサブスクリプションを見つけます。
“Access Control (IAM)” をクリックします。
Role assignmentsタブに移動し、“Add” をクリックしてから “Add role assignment” をクリックします。
“Role” タブで、作成したカスタムロール(「Aikido VM Scanner」)を検索して選択し、“Next” をクリックします。
“Assign access to” はデフォルト値のままにしておきます。
“Select Members” をクリックし、作成したApp Registrationの名前(例: “AikidoSecurity”)を検索して選択します。
“Select” をクリックします。
“Review + assign” を2回クリックします。
これで、App RegistrationにAzure仮想マシンをスキャンするために必要な権限が付与されました。