メインコンテンツへスキップ

Azure connection

Microsoft Azure のクラウドリソースへアクセスする接続を作成する際は、その接続のスコープを定義する必要があります。Azure 接続は、お客様のテナント内の Microsoft Entra ID アプリケーションを使用し、CloudFlow が workload identity federation で認証します。DoiT プラットフォームには認証情報やシークレットは保存されません。フェデレーション認証情報はこの特定の接続にのみ紐づけられているため、そのアプリケーションはこの接続を使用するフローからしか利用できません。

DoiT コンソールでは、Azure 接続の作成を支援するステップバイステップのウィザードを提供しています。ウィザードは、Details、Scope、Policies and permissions、Deploy to Microsoft Azure、User access の 5 つのステップで構成されています。

すでに Integrations でこのテナントを接続していますか？

Azure テナントがすでにCloud Intelligence に接続されている場合、このウィザードを実行する代わりに、既存の権限から接続を作成できます。この方法でインポートされた接続は、リンクされた Cloud Connect 設定のテナント全体に対する読み取り専用アクセスを再利用します。専用の Entra ID アプリケーションが必要な場合や、より狭いスコープ（management group・subscription・resource group）が必要な場合、または書き込み権限が必要な場合は、ウィザードを実行してください。

Required permissions​

Azure 接続を作成するには、お客様の DoiT アカウントに CloudFlow Manager 権限が必要です。CloudFlow permissions を参照してください。

Prerequisites​

Deploy to Microsoft Azure ステップで接続をデプロイするには、次の条件を満たす Azure アカウントが必要です。

  • Microsoft Entra テナントでアプリ登録を作成する権限

  • Scope ステップで選択したスコープに対する Microsoft.Authorization/roleAssignments/write 権限（例: 該当する management group・subscription・resource group の Owner または User Access Administrator など）

Step 1: Details​

ウィザードを起動したら、まず接続と、その接続によって作成される Entra ID アプリケーションに名前を付けます。

  1. DoiT コンソール にサインインし、上部ナビゲーションのメガメニューから Automation and operations を選択し、CloudFlow を選択します。

  2. サイドバーから Connections を選択します。

  3. Connections ペインで Azure タブを選択します。

  4. Create connection を選択します。Create your Microsoft Azure connection ウィザードが表示されます。

  5. まだ展開されていない場合は、矢印を選択して Details を展開します。

  6. Connection name で、この接続の目的やスコープを表す一意の名前を入力します。この接続は DoiT プラットフォーム上に存在し、フロー自体と対話するためのユーザーの権限を定義します。

  7. Application name で、CloudFlow がフローを実行する際に使用する Entra ID アプリケーションの名前を入力します。名前には自動的に doit-cloudflow- がプレフィックスとして付与されます。デフォルトでは、アプリケーション名は接続名と同じになります。別の名前が必要な場合は変更できます。このアプリケーションは DoiT プラットフォーム上ではいかなる権限も持ちません。

  8. Tenant ID で、この接続が認証を行う Microsoft Entra テナントを選択するか、その GUID を手動で入力します。

    Edit details

  9. Next を選択します。

Step 2: Scope​

Scope では、この接続がアクセスできる Azure リソースを定義します。より広いスコープを選ぶと、後から追加されたリソースも自動的に含まれます。

  1. まだ展開されていない場合は、矢印を選択して Scope を展開します。

  2. スコープレベルを選択します。

    • Management group: 接続は、その management group 配下のすべての subscription（後から追加されたものも含む）にアクセスできます。

    • Subscription: 接続は、1 つの subscription にアクセスできます（後から追加された resource group も含む）。

    • Resource group: 接続は、1 つの subscription 内の 1 つの resource group にアクセスできます。

  3. management group・subscription・resource group のいずれかを選択するか、その ID を手動で入力します。Resource group レベルを選択する場合は、最初に subscription を選択し、次に resource group を選択します。

    Edit scope

  4. Next を選択します。

Step 3: Policies and permissions​

フローが実行時に使用する Entra ID アプリケーションの権限を定義します。少なくとも 1 つの組み込みロールを選択するか、少なくとも 1 つのカスタムアクションを追加する必要があります。

  1. まだ展開されていない場合は、矢印を選択して Policies and permissions を展開します。

  2. Built-in roles で、この接続に割り当てたいAzure 組み込みロール（例: Reader）を選択します。他の任意の組み込みロール名を入力することもできます。

  3. （任意）Action で、追加したい特定の Azure アクション（例: Microsoft.Compute/virtualMachines/read）を入力します。ウィザードは、カスタムアクションを 1 つのカスタムロールにまとめ、デプロイ時に作成して割り当てます。

  4. （任意）フローにさらに多くの Azure アクションが必要な場合は、Add another action を選択し、追加したいアクションごとに繰り返します。

    Edit permissions

  5. Create & next を選択します。接続は DoiT プラットフォーム上に作成され、ステータスは Pending setup になります。検証が次のステップで成功するまで、ステータスは Pending setup または Pending permissions のままです。

Step 4: Deploy to Microsoft Azure​

お客様の Azure テナントで、Entra ID アプリケーションの作成、workload identity federation の構成、および選択したロールの割り当てを行う必要があります。これは、Azure CLI スクリプトを実行するか、Terraform モジュールを適用することで実施します。どちらも自動生成され、同じ結果になります。

  1. まだ展開されていない場合は、矢印を選択して Deploy to Microsoft Azure を展開します。

    1. Azure CLI タブを選択します。

    2. 提供されているスクリプトをコピーします。

    3. Azure Cloud Shell（または、テナントにサインイン済みの Azure CLI が利用可能なターミナル）を、Prerequisites を満たすアカウントで開きます。

    4. スクリプトを貼り付けて実行します。これにより、Entra ID アプリケーションと service principal が作成され、workload identity federation が構成され、カスタムアクションを追加した場合はカスタムロールが作成され、選択したロールが指定したスコープに割り当てられます。

    5. スクリプトの出力末尾付近に表示される、DoiT CloudFlow client ID: で始まる行から、アプリケーションの client ID をコピーします。

    Deploy with the Azure CLI

  2. Application (client) ID に、デプロイ出力からコピーした client ID を貼り付けます。

  3. Verify connection を選択します。検証では、フェデレーション認証情報とロールの割り当てが正しく構成されているかを確認します。

    • Connection verified: 接続がアクティブになり、使用可能になります。

    • Workload identity federation is not configured yet: スクリプトまたは Terraform モジュールが実行されていないか、完了していません。デプロイを実行してから、再度検証してください。

    • Role assignments were not found: アプリケーションは存在しますが、そのロール割り当てが不足しているか、Azure 内での反映中です。必要に応じてロール割り当て部分のデプロイを再実行し、1 分ほど待ってから再度検証してください。

  4. 検証が成功したら、Next を選択します。

Step 5: User access​

どの DoiT アカウントがこの接続へアクセスでき、フロー内で使用する権限を持つかを指定します。

  1. まだ展開されていない場合は、矢印を選択して User access を展開します。

  2. Email で、この接続を使用できる DoiT アカウントのメールアドレスを選択します。

  3. Connection access level で、その DoiT アカウントに付与するアクセスレベルを選択します。

  4. さらに別のアカウントを追加するには、Add another account を選択します。

  5. この接続を使用できる各 DoiT アカウントについて、同じ手順を繰り返します。

  6. Finish connection を選択します。接続が作成されたら、フロー内で接続を使用できます。たとえば、Azure node で使用できます。

CloudFlow がテナントへアクセスする仕組み​

Azure の接続では、認証情報やシークレットを DoiT プラットフォーム内に保存しません。アクセスには workload identity federation を使用します。デプロイ時に、この特定の接続に紐づく件名と対象者が固定されたフェデレーション認証情報が Entra ID アプリケーションに追加されるため、CloudFlow は自分自身のアイデンティティのみをこのアプリケーションのトークンと交換でき、そのうえこの接続を使用するフローに対してのみ有効になります。アクセスを取り消すには、Azure テナント内で接続のロール割り当て、またはアプリケーションを削除してください。

関連項目​

に最終更新