Privileged Identity Managementを使用した Azure エンクレーブでの Just-In-Time アクセスの構成

Azure エンクレーブでは、Privileged Identity Management (PIM) を使用して、エンクレーブとワークロード内の機密性の高いリソースに対して Just-In-Time (JIT) アクセスを有効にします。 PIM を使用すると、ユーザーは特定のタスクを実行するための一時的な期限付きアクセス許可を要求できるため、オーバープロビジョニングや未承認のアクションのリスクを最小限に抑えることができます。 この記事では、PIM を使用して Azure エンクレーブで JIT アクセスを構成する方法について説明します。

Azure Privileged Identity Management (PIM) は、Azure環境内でのアクセスの管理、制御、監視に役立つAzure サービスです。 Azure PIM と Azure エンクレーブを組み合わせることで、エンクレーブ内で実行されるアクションを承認するための制御されたセキュリティで保護されたワークフロー Azure適用できます。 組織のセキュリティ体制を変更する可能性がある、承認されていない変更や偶発的な変更を防ぐことができます。

Azure PIM を使用して、Azure エンクレーブ内のアクションを承認する方法を次に示します。

  1. AZURE PIM を有効にする: AZURE PIM を使用する前に、Azure サブスクリプションに対して有効にする必要があります。 これを行うには、Azure ポータルを使用します。 "Microsoft Entra ID Privileged Identity Management" サービスに移動し、手順に従ってサブスクリプションの PIM を設定します。

  2. 承認付きのロールの割り当て: AZURE PIM では、カスタム ロールを定義したり、承認ワークフローで組み込みのロールを使用したりできます。 これらのロールは、コミュニティ、エンドポイント、エンクレーブの作成、変更、削除などの Azure エンクレーブ リソース アクション (内部接続の確立など) へのアクセスを許可するように設計されています。 これらのロールをユーザーに割り当てると、ロールのアクセス許可がアクティブ化される前に承認を要求するように構成できます。

  3. アクセス要求の承認: ユーザーが特権アクセスを必要とするアクションAzureエンクレーブ内で実行する必要がある場合は、PIM Azure経由で要求を開始します。 この要求は、レビューのために適切な承認者に送信されます。 承認者は、コミュニティ所有者、エンクレーブ所有者、または要求を評価および承認するために必要なアクセス許可を持つ個人にすることができます。

  4. レビューと承認: 指定された承認者は、ユーザーがアクセスを要求したことを示す通知を受け取ります。 承認者は、Azure Enclave 内でユーザーが実行しようとしている特定のアクションを含む、要求の詳細を確認できます。 承認者は、提供された情報に基づいて要求を承認または拒否できます。 このプロセスにより、承認された正当なアクションのみがエンクレーブ内Azure実行されます。

  5. 期限付きアクセス: AZURE PIM を使用すると、ユーザーに期限付きアクセスを許可できます。 つまり、ユーザーには、指定されたアクセス許可が一定期間だけ付与されます。 これは、一時的なアクセスが必要な場合に特に便利です。 承認された期間が経過すると、ユーザーのアクセス許可が自動的に取り消され、特権アクセスが長期化するリスクが軽減されます。

  6. 監査と監視: Azure PIM は、包括的な監査ログとレポート機能を提供します。 これにより、Azure Enclave 内でのすべてのアクセス要求、承認、拒否、および実行されたアクションを追跡して監視できます。 監査を使用すると、機密性の高いリソースにアクセスしているユーザー、そのアクション、承認されたユーザーと正当なリソースの有無を把握できます。

AZURE PIM のアクセス承認ワークフローと Azure エンクレーブのセキュリティ アクションを統合することで、承認されていない変更を防ぎ、特権アクセスに関連するリスクを最小限に抑える堅牢なセキュリティ体制を確立できます。 このアプローチは、最小限の特権の原則に沿っており、組織がAzure環境で強力なセキュリティ基盤を維持するのに役立ちます。

Azure エンクレーブで PIM を使用して JIT アクセスを構成する手順

手順 1: Privileged Identity Managementを有効にする

  1. Azure Portal に移動します。
  2. Microsoft Entra ID (以前のAzure Active Directory) に移動します。
  3. メニューからPrivileged Identity Managementを選択します。
  4. 画面の指示に従って、ディレクトリの PIM を有効にします。

手順 2: エンクレーブ リソースのロールを割り当てる

  1. PIM ダッシュボードで、Azure リソース を選択します。

  2. Azureエンクレーブ リソースを含むサブスクリプションまたはリソース グループを選択します。

  3. 目的のロールをユーザーまたはグループに割り当てます。 一般的なロールは次のとおりです。

    • 所有者: エンクレーブとワークロード リソースを管理するためのフル アクセス。
    • 共同作成者: リソースを管理するためのアクセス許可。セキュリティ関連の設定にはアクセスできません。
    • 閲覧者: 監視とコンプライアンスのための表示専用アクセス。

  4. ロールごとに、次の設定を構成します。

    • アクティブ化が必要: ロールで JIT アクセスのアクティブ化が必要であることを確認します。
    • 割り当てスコープ: エンクレーブ マネージド リソース グループやワークロード リソース グループ など、特定の リソースにロールを制限します。

手順 3: 承認設定を定義する

  1. PIM でロールの設定に移動します。
  2. [ アクティブ化するには承認が必要] を有効にします。
  3. アクセス要求を検証する承認者 (管理者やプロジェクト マネージャーなど) を指定します。
  4. 要求が行われたり承認されたりしたときに承認者とユーザーに通知するように 通知設定 を構成します。

手順 4: アクティブ化ポリシーを構成する

  1. ロールの設定で、アクティブ化条件を定義します。
    • 最大アクティブ化期間: 承認後にロールがアクティブになっている期間 (1 時間、8 時間など) を設定します。
    • Multi-Factor Authentication (MFA): すべてのアクティブ化に MFA が必要です。
    • 理由: アクセスを要求する理由をユーザーに提供するよう要求します。

手順 5: 構成をテストする

  1. 構成されたロールをテスト ユーザーに割り当てます。
  2. ユーザーに次のロールのアクティブ化を申請させます:
    • ユーザーが PIM ダッシュボード に移動し、[ マイ ロール] を選択します。
    • ユーザーは目的のロールを選択し、正当な理由でアクティブ化要求を送信します。
  3. 要求を承認してワークフローを検証します。
  4. 指定した期間が経過すると、アクセス許可が付与され、自動的に取り消されることを確認します。

Azure エンクレーブでの JIT アクセスの利点

  • セキュリティの強化:

    • 時間制限付きアクセスにより、機密性の高いリソースへの露出が最小限に抑えられます。
    • 条件付きアクセスでは、強力な ID とデバイスの検証が適用されます。

  • 運用上の柔軟性:

    • ユーザーは、特定のタスクに必要なアクセス許可をすばやく要求して受け取ることができます。
    • 承認者は、エンクレーブ リソースにいつ誰がアクセスするかを制御できます。

  • コンプライアンスと監査可能性:

    • すべてのアクセス要求、承認、およびアクションのログにより、監査の追跡可能性が確保されます。
    • Azure MonitorやMicrosoft Sentinelなどのツールとの統合により、可視性が向上します。

詳細情報のリソース

Privileged Identity Managementと Azure エンクレーブを使用して Just-In-Time アクセスを構成し、一時的なアクセス許可を管理するためのセキュリティで保護されたスケーラブルなフレームワークを提供します。 このアプローチでは、堅牢なセキュリティ体制と組織の標準への準拠を維持しながら、運用の柔軟性をサポートします。

  • Last updated on