Important
Azure Blueprints (プレビュー) は 2027 年 1 月 31 日に廃止され、2026 年 7 月 31 日から段階的に廃止されます。 既存のブループリント定義と割り当てを デプロイ スタック (推奨) と テンプレート スペックに移行します。 ブループリント アーティファクトは、デプロイ スタックの定義に使用される ARM JSON テンプレートまたはBicep ファイルに変換されます。 完全な段階的スケジュール、影響、および FAQ については、Azure Blueprints の廃止またはhttps://aka.ms/AzureBlueprintsRetirementをご覧ください。 アーティファクトを ARM リソースとして作成する方法については、以下を参照してください。
サンプル ブループリントでは、Azure Blueprints を使用して実行できる処理の例を示します。 それぞれが特定の意図または目的を持つサンプルですが、単独で完全な環境を作成することはありません。 それぞれが、含まれる成果物、設計、およびパラメーターのさまざまな組み合わせで Azure Blueprints を使用して探索するための出発点として意図されています。
次のチュートリアルでは、RBAC ブループリント サンプル を含むリソース グループ を使用して、Azure Blueprints サービスのさまざまな側面を紹介します。 次の手順について説明します。
- サンプルから新しいブループリント定義を作成する
- サンプルのコピーを公開済みとしてマークする
- ブループリントのコピーを既存のサブスクリプションに割り当てる
- 割り当てにデプロイされたリソースを調べる
- ブループリントの割り当てを解除してロックを削除する
[前提条件]
このチュートリアルを完了するには、Azure サブスクリプションが必要です。 Azure サブスクリプションをお持ちでない場合は、開始する前に 無料アカウント を作成してください。
サンプルからブループリント定義を作成する
最初に、ブループリント サンプルを実装します。 インポートすると、サンプルに基づいて環境内に新しいブループリントが作成されます。
左側のウィンドウで [ すべてのサービス ] を選択します。 ブループリントを検索して選択 します。
左側の [ 作業の開始 ] ページで、[ブループリントの 作成 ] の下にある [作成] ボタン を選択します。
[その他のサンプル] の下にある RBAC ブループリント サンプルを含むリソース グループを見つけて選択します。
ブループリント サンプルの 基本 を入力します。
- ブループリント名: ブループリント サンプルのコピーの名前を指定します。 このチュートリアルでは、 two-rgs-with-role-assignments という名前を使用します。
- 定義の場所: 省略記号を使用し、サンプルのコピーを保存する管理グループまたはサブスクリプションを選択します。
ページの上部にある [ 成果物 ] タブを選択するか、ページの下部にある [次へ: 成果物 ] を選択します。
ブループリント サンプルを構成する成果物の一覧を確認します。 このサンプルでは、 ProdRG と PreProdRG の表示名を持つ 2 つのリソース グループを定義します。 各リソース グループの最終的な名前と場所は、ブループリントの割り当て時に設定されます。 ProdRG リソース グループには共同作成者ロールが割り当てられ、PreProdRG リソース グループには所有者ロールと閲覧者ロールが割り当てられます。 定義で割り当てられたロールは静的ですが、ロールが割り当てられているユーザー、アプリ、またはグループは、ブループリントの割り当て中に設定されます。
ブループリント サンプルの確認が完了したら、[ 下書きの保存] を選択します。
この手順では、選択した管理グループまたはサブスクリプションにサンプル ブループリント定義のコピーを作成します。 保存されたブループリント定義は、最初から作成されたブループリントと同様に管理されます。 このサンプルは、必要に応じて何度でも管理グループまたはサブスクリプションに保存できます。 ただし、各コピーには一意の名前を指定する必要があります。
ブループリント定義の保存に成功したポータルの通知が表示されたら、次の手順に進みます。
サンプル コピーを発行する
これで、ブループリント サンプルのコピーが環境内に作成されました。 これは下書きモードで作成されており、割り当てとデプロイを行う前に公開する必要があります。 ブループリント サンプルのコピーは、環境とニーズに合わせてカスタマイズできます。 このチュートリアルでは、変更は行いません。
左側のウィンドウで [ すべてのサービス ] を選択します。 ブループリントを検索して選択 します。
左側の [ブループリント定義 ] ページを選択します。 フィルターを使用してtwo-rgs-with-role-assignmentsブループリント定義を見つけ、それを選択します。
ページの上部にある [ ブループリントの発行] を選択します。 右側の新しいウィンドウで、ブループリント サンプルのコピーのバージョンを 1.0 として指定します。 このプロパティは、後で変更を加えた場合に便利です。 「RBAC ブループリント サンプルを使用してリソース グループから発行された最初のバージョン」などの 変更に関するメモ を提供します。次に、ページの下部にある [ 発行 ] を選択します。
この手順により、ブループリントをサブスクリプションに割り当てることができます。 発行後も、変更を加えることができます。 追加の変更では、同じブループリント定義の異なるバージョン間の違いを追跡するために 、新しい バージョン値を使用して発行する必要があります。
発行ブループリント定義が成功したポータル通知が表示されたら、次の手順に進みます。
サンプル コピーを割り当てる
ブループリント サンプルのコピーが正常に 発行されたら、保存先の管理グループ内のサブスクリプションに割り当てることができます。 この手順では、ブループリント サンプルのコピーの各デプロイを一意にするためにパラメーターを指定します。
左側のウィンドウで [ すべてのサービス ] を選択します。 ブループリントを検索して選択 します。
左側の [ブループリント定義 ] ページを選択します。 フィルターを使用してtwo-rgs-with-role-assignmentsブループリント定義を見つけ、それを選択します。
ブループリント定義ページの上部にある [ブループリントの 割り当て] を選択します。
ブループリント割り当てのパラメーター値を指定します。
Basics
- サブスクリプション: ブループリント サンプルのコピーを保存した管理グループ内の 1 つ以上のサブスクリプションを選択します。 複数のサブスクリプションを選択した場合は、入力したパラメーターを使用して割り当てが作成されます。
- 割り当て名: 名前は、ブループリント定義の名前に基づいてあらかじめ設定されます。
- 場所: 作成するマネージド ID のリージョンを選択します。 Azure Blueprints では、このマネージド ID を使用して、割り当てられたブループリント内のすべての成果物をデプロイします。 詳細については、 Azure リソースのマネージド ID に関するページを参照してください。 このチュートリアルでは、 米国東部 2 を選択します。
- ブループリント定義のバージョン: サンプル ブループリント定義のコピーの 発行済み バージョン 1.0 を選択します。
ロック割り当て
読み取り専用ブループリント ロック モードを選択します。 詳細については、 ブループリント リソースのロックに関する説明を参照してください。
マネージド ID
既定の [システム割り当て済み ] オプションのままにします。 詳細については、「 マネージド ID」を参照してください。
成果物のパラメーター
このセクションで定義されているパラメーターは、定義されている成果物に適用されます。 これらのパラメーターは、ブループリントの割り当て中に定義されるため、 動的パラメーター です。 アーティファクトごとに、パラメーター値を [ 値 ] 列に定義されている値に設定します。
{Your ID}の場合は、Azure ユーザー アカウントを選択します。アーティファクト名 成果物の種類 パラメーター名 価値 Description ProdRG リソース グループ リソースグループ 名前 ProductionRG 最初のリソース グループの名前を定義します。 ProdRG リソース グループ リソースグループ ロケーション 米国西部 2 最初のリソース グループの場所を設定します。 投稿者 ロールの割り当て ユーザーまたはグループ {自分の ID} 最初のリソース グループ内で 共同作成者 ロールの割り当てを付与するユーザーまたはグループを定義します。 PreProdRG リソース グループ リソースグループ 名前 PreProductionRG 2 番目のリソース グループの名前を定義します。 PreProdRG リソース グループ リソースグループ ロケーション 米国西部 2 番目のリソース グループの場所を設定します。 オーナー ロールの割り当て ユーザーまたはグループ {自分の ID} 2 番目のリソース グループ内で 所有者 ロールの割り当てを付与するユーザーまたはグループを定義します。 Readers ロールの割り当て ユーザーまたはグループ {自分の ID} 2 番目のリソース グループ内で 閲覧者 ロールの割り当てを付与するユーザーまたはグループを定義します。
すべてのパラメーターを入力したら、ページの下部にある [割り当て] を選択します。
この手順では、定義されたリソースをデプロイし、選択した ロック割り当てを構成します。 ブループリント ロックの適用には、最大で 30 分かかる場合があります。
ブループリント定義の割り当てに成功したポータルの通知が表示されたら、次の手順に進みます。
割り当てによってデプロイされたリソースを検査する
ブループリントの割り当てにより、ブループリント定義で定義されたアーティファクトが作成され、追跡されます。 ブループリントの割り当てページから、およびリソースを直接確認することで、リソースの状態を確認できます。
左側のウィンドウで [ すべてのサービス ] を選択します。 ブループリントを検索して選択 します。
左側の [割り当てられたブループリント ] ページを選択します。 フィルターを使用してブループリントの割り当て Assignment-two-rgs-with-role-assignments を検索し、選択します。
このページでは、割り当てが成功し、作成されたリソースの一覧とそのブループリント ロック状態が表示されます。 割り当てが更新されると、[ 割り当て操作 ] ドロップダウン リストに、各定義バージョンのデプロイに関する詳細が表示されます。 作成された一覧表示された各リソースを選択して、そのリソースのプロパティ ページを開くことができます。
ProductionRG リソース グループを選択します。
リソース グループの名前は ProductionRG であり、成果物の表示名 ProdRG ではありません。 この名前は、ブループリントの割り当て中に設定された値と一致します。
左側の [アクセス制御 (IAM)] ページを選択し、[ ロールの割り当て ] タブを選択します。
ここでは、このリソースのスコープに対する共同作成者ロールがアカウントに付与されていることがわかります。 ブループリントの割り当て Assignment-two-rgs-with-role-assignments はリソース グループの作成に使用されたため、所有者 ロールが割り当てられています。 これらのアクセス許可は、ブループリント ロックが構成されたリソースの管理にも使用されます。
Azure portal の階層リンクから、 Assignment-two-rgs-with-role-assignments を選択して 1 ページ戻り、 PreProductionRG リソース グループを選択します。
左側の [アクセス制御 (IAM)] ページを選択し、[ ロールの割り当て ] タブを選択します。
ここでは、このリソースのスコープで、アカウントに所有者ロールと閲覧者ロールの両方が付与されていることがわかります。 ブループリントの割り当てには、最初のリソース グループのような 所有者 ロールもあります。
[ 拒否割り当て ] タブを選択します。
ブループリント割り当てにより、デプロイされたリソース グループに 拒否割り当てが 作成され、 読み取り専用 ブループリント ロック モードが適用されます。 拒否割り当てでは、[ ロールの割り当て ] タブで適切な権限を持つユーザーが特定のアクションを実行できなくなります。 拒否割り当ては すべてのプリンシパルに影響します。
拒否割り当てを選択し、左側の [ 拒否されたアクセス許可] ページを選択します。
拒否割り当てにより、*とアクションの構成を使用するすべての操作が禁止されますが、NotActions 経由で */read を除外することで読み取りアクセスが許可されます。
Azure portal 階層リンクから、 PreProductionRG - アクセス制御 (IAM) を選択します。 次に、左側の [概要 ] ページを選択し、[ リソース グループの削除 ] ボタンを選択します。 PreProductionRG という名前を入力して削除を確定し、ウィンドウの下部にある [削除] を選択します。
ポータル通知 リソース グループの削除に失敗した PreProductionRG が表示されます。 このエラーは、アカウントにリソース グループを削除するアクセス許可がある一方で、ブループリントの割り当てによってアクセスが拒否されたことを示しています。 ブループリントの割り当て中に 、読み取り専用 ブループリント ロック モードを選択したことを思い出してください。 ブループリント ロックにより、 所有者であってもアクセス許可を持つアカウントがリソースを削除できなくなります。 詳細については、 ブループリント リソースのロックに関する説明を参照してください。
これらの手順では、リソースが定義どおりに作成され、ブループリント ロックによって、アクセス許可を持つアカウントからの不要な削除が防止されたことを示します。
ブループリントの割り当てを解除する
最後の手順では、ブループリントの割り当てとデプロイしたリソースを削除します。 割り当てを削除しても、デプロイされた成果物は削除されません。
左側のウィンドウで [ すべてのサービス ] を選択します。 ブループリントを検索して選択 します。
左側の [割り当てられたブループリント ] ページを選択します。 フィルターを使用してブループリントの割り当て Assignment-two-rgs-with-role-assignments を検索し、選択します。
ページの上部にある [ブループリントの割り当ての解除 ] ボタンを選択します。 確認ダイアログで警告を読み、[ OK] を選択します。
ブループリントの割り当てが削除されると、ブループリント ロックも削除されます。 作成されたリソースは、アクセス許可を持つアカウントによってもう一度削除できます。
Azure メニューから [リソース グループ ] を選択し、 ProductionRG を選択します。
左側の [アクセス制御 (IAM)] ページを選択し、[ ロールの割り当て ] タブを選択します。
各リソース グループのセキュリティにはデプロイされたロールの割り当てが残っていますが、ブループリントの割り当てには 所有者 アクセス権がなくなりました。
ブループリント割り当ての削除が完了したポータルの通知が表示されたら、次の手順に進みます。
リソースをクリーンアップする
このチュートリアルが完了したら、次のリソースを削除します。
- リソース グループ ProductionRG
- リソース グループ PreProductionRG
- ブループリント定義 two-rgs-with-role-assignments
次のステップ
このチュートリアルでは、サンプル定義から新しいブループリントを作成する方法を学習しました。 Azure Blueprints の詳細については、ブループリントのライフサイクルに関する記事に進んでください。
