Azureの契約直前・直後に意識しておくこと10箇条

Azureの契約直前・直後に
意識しておくこと10箇条
Interact 2018
@yuiashikaga

自己紹介
Copyright© 2018, @yuiashikaga All Rights Reserved.
2
足利惟 @yuiashikaga
株式会社 pnop 所属
Microsoft Azure だけでお仕事してます
Azure とはかれこれ8年くらいのお付き合い
Japan Azure User Group (JAZUG) 運営メンバー
勉強会の企画、運営、登壇などを通じてAzureの魅力を発信
Facebookで「JAZUG」検索！！
Microsoft MVP for Azure (2016年4月～2018年6月)
カメラ、釣り、レース観戦
OLYMPUS、バス釣り、F1、Super GT

このセッションの内容とゴール
Azure上で動くシステムの管理ではなく、Azureそのものの管理
の話になります
3
これから Azure を使うすでにバリバリ使っている
10箇条を意識して管理し
やすい環境に
自分が管理している環境
を見直すきっかけに

ということで・・・
このセッションでインフラのお話しは
一切出てきません！！(｀・ω・´)ｷﾘｯ
4

なぜこのセッションを・・・
インフラの人って結局 Azure の契約とか
管理とか兼任してる人が多い印象…
5

アンケート
Azure はこれから導入する予定
Azure サブスクリプションを個人で使っている
会社から Azure のサブスクリプションをもらって使っている
会社の Azure サブスクリプションの管理をしている
6

注意点
本セッションは 2018年6月30日現在の情報を基に作成してます
最新情報はWebで！！
7

1. Azure の契約を今一度確認すべし
従量課金? CSP? EA?
8

Azure の契約プランて実はたくさん
9
https://azure.microsoft.com/ja-jp/support/legal/offer-details/

従量課金制
使った分だけお支払い
基本はクレジットカード払い (請求書払いに変更可能)
Microsoft から直接購入
10
• 会社のクレジットカードを作成しなければならない
• 請求書払いの場合、サードパーティと外部サービスは購入も支払い
もできない
• 別サブスクリプションをクレジットカードで契約する必要がある

Azure CSP (Cloud Solution Provider)
サブスクリプション + パートナーが提供する付加価値
購入方法はパートナーの仕様に依存(基本は従量課金)
パートナー経由で購入
11
• ASM (Classic)形式のリソースは作成できない
• Azure Marketplace の従量課金製品のほとんどは購入できない
• Microsoft のサポートは購入できない (パートナー提供のみ)

EA (Enterprise Agreement)
大企業向けの一括購入プラン
年間使用分を事前に購入 (Azure Monetary Commit)
LSP (ライセンスプロバイダー)経由で購入
12
• 事前に年間金額を予測
• Azure Marketplace の購入は出来るがほとんどの製品は別請求
(Monetary Commit から消費されない)
• StorSimple 使いたいなら現状EA一択
https://www.microsoft.com/ja-jp/Licensing/how-to-buy/LSP.aspx

なぜ契約を理解する必要があるか
サブスクリプションを払い出してもらうのに、誰に依頼を投げ
たらいいかわからない問題 (自社でもお客様の担当者でも)
13
EAの場合
アカウント管理者に依頼
CSPの場合
パートナーに依頼

2. MSAと組織アカウントの違いを
理解すべし
14

15
現在、Microsoft Azure を管理するために
使用しているアカウントの種類ってご存知ですか

Microsoft アカウントと組織アカウント
16
Azure

(おさらい) Azure Active Directory とは？
クラウドの認証基盤
Azure, Office 365, Microsoft Intune, Dynamics CRM などの基盤
組織独自のアプリ、2,600 以上の SaaS アプリとの連携 (SSO)
オンプレミスの Active Directory と ID 同期/ID 連携が可能
17

Azure でのアカウント管理おすすめは
18
すべてを組織アカウントで管理することです

Microsoft Azure を MSA で管理することのリスク
セキュリティポリシーが強制できない
例：パスワード強度、多要素認証、監査
5年ログインしないとアカウントが無効となる
放置しているアカウントが Azure サブスクリプションのアカウント
管理者の場合、最悪サブスクリプションが無効化
19

3. Azure AD は最初に作っておくべし
20

Azure AD 勝手に作られる問題
MSAを起点としてサブスクリプションを作った場合、メールアドレ
スに応じたAzure ADテナントが勝手に作成されてしまう
EAの場合には注意が必要 (アカウント管理者がMSAだと・・・)
CSPは仕組み上 Azure AD を指定する必要があるので問題なし
21

Azure のサブスクリプションて MSA で作るもの
じゃないの？
組織アカウントを起点に作る方法もあります
https://account.azure.com/organization/
22

4. Azure ADの管理者を理解すべし
23

Azure AD 主要ディレクトリロール
24
全体管理者課金管理者パスワード管理者ユーザー管理者
会社情報とユーザー情報の表示 ○ ○ ○ ○
Office サポートチケットの管理 ○ ○ ○ ○
Office 製品の課金操作と購入操作の実行 ○ ○
ユーザーパスワードのリセット ○ ○ ○
ユーザービューの作成と管理 ○ ○
ユーザーとグループの作成、編集、削除、および
ユーザーライセンスの管理 ○ ○
ドメインの管理 ○
会社情報の管理 ○
他のユーザーへの管理者ロールの委任 ○
ディレクトリ同期の使用 ○
Multi-Factor Authentication の有効化または無効化 ○

ユーザーへのディレクトリロール割り当て
25

ポイント
Azure AD の管理者はあくまで Azure AD 内部を管理
Azure AD の全体管理者であっても、Azure サブスクリプショ
ン内で適切なロールが割り当たっていない場合、Azure上のリ
ソースは管理できない
例外を設けることは可能
26

5. Azure ADとサブスクリプションの
関係を理解すべし
27

Azure サブスクリプションと AAD の関係って？
28
Azure サブスクリプション
リソースグループ
仮想マシンリソース
Functionsリソース
SQL DBリソース
VNETリソース
WebAppリソース
Azure ADリソース

Azure サブスクリプションと AAD の関係
29
hogehoge.onmicrosoft.com
テナント
Subscription A
サービス管理者
制限付き管理者
Subscription B
Subscription C
Office 365
Subscription

Azure サブスクリプションと AAD の関係って？
すべてのサブスクリプションは Azure
AD テナントを信頼
MSA を使用してサブスクリプション
を作成すると、自動的に Azure AD テ
ナントが作成
Azure AD テナント間でサブスクリプ
ションを譲渡可能
30
Azure AD tenant
Sub1 Sub2 Sub3

MSA って Azure AD の中ではどういう位置づけ？
Azure AD のユーザーDB にゲストユーザーとして MSA の参照
情報が登録される
31

他のディレクトリのユーザーを登録したい
他ディレクトリのユーザーもゲストユーザーという形で登録可
能 (Azure AD B2B)
32

アカウントとサブスクリプションでこんな関係も
33
contso.com ディレクトリ
組織アカウント
helen@contso.com
ユーザー
Users
Subscription A
サービス管理者 = helen@contso.com
fabrikam.com ディレクトリ
組織アカウント
helen@contso.com
ゲストユーザー
Users
Subscription B
閲覧者 = helen@contso.com

複数のディレクトリをどう切り替えるか
34

ディレクトリの変更も可能だけど。。。
現行ディレクトリをもとに Azure の管理者を決めているので、
その情報がすべてなくなってしまう
35
contso.com ディレクトリ
Subscription A
fabrikam.com ディレクトリ
Subscription B

ディレクトリを一緒にしておくといいことも
ネットワーク系の機能が使える (VNET Peeringとか)
リソースのサブスクリプション間移動が可能
36

6. Azure の管理者を理解すべし
37

最上位の Azure ロール
アカウント管理者 ← 組織アカウントがおススメ
課金情報の管理
サブスクリプション内のリソース管理は出来ない
サブスクリプション毎に1人
サブスクリプションを作成可能
サービス管理者を指定可能 (デフォルトはアカウント管理者と同じ)
サービス管理者 (所有者)
サブスクリプション内のすべてのリソースを管理
共同管理者を指定可能 (今は非推奨)
38

一般的な管理者
共同管理者
Azureの各種サービスを利用するための管理者
現在は非推奨 (下の制限付き管理者を適切に設定する)
• 現行の管理ポータル上では「所有者」となってしまう
RBACにて設定された範囲のリソース管理者
• 例えば仮想マシンの管理のみが行える管理者
39

40

制限付き管理者 (RBAC 組み込みロール)
41

7. むやみやらたに管理者ロールを
渡すべからず
42

Role-Based Access Control (RBAC)
Azure のリソースに対して細かいアク
セス制御が可能
スコープごとにセキュリティプリン
シパルに対しロールを割り当てるこ
とでアクセスを許可
セキュリティプリンシパル：ユーザー、
グループ
ロール：ビルトイン or カスタムロール
スコープ：サブスクリプション、リソー
スグループ、個々のリソース
43

やりがちなこと
ユーザーに権限割り当てたいけど、RBACとか難しいし。。。
いちいちリソース毎に権限管理とか疲れちゃうし。。。
全員に管理者権限与えておけばいっか。。。
44

45

RBACの一例
46
サブスクリプションリソースグループリソース
責任者
作業者
特定作業者
例)仮想マシンの管理のみ
監視者
“作業時のリスクを減らすために最小限のロール割り当てを行ってください”

8. リソースは適切に分けるべし
47

Resource Group
関連するリソースをまとめて管理
同一サブスクリプション内の Azure 仮想マシ
ン、ストレージアカウント、SQL DBなど、種
類の異なるさまざまなリソースをグループ化
できる
それぞれのリソースは、1 つのリソー
スグループにのみ存在
別リージョンのリソースも同一のグ
ループで管理可能
リソースグループ単位で削除可能

Resource Group の分け方例
49
“RBACと組み合わせて役割やシステム特性に応じたグルーピングを行う”

9. リソース管理の便利機能を
抑えておくべし
50

リソースロック
管理側ですべてのユーザーに削除禁止または読み取り専用のど
ちらかの状態にリソースをロックする機能
ユーザーの誤操作を防止する
51

Azure Resource Policy
サブスクリプション、リソースグループごとにリソースに対す
る規則を定義することが可能
RBACと違いデプロイ中のリソースプロパティに焦点
リソース場所、SKUなどを制御可能
52

53

54

Management Group (Preview)
複数のサブスクリプションを管理するためのグループ
グループごとにRBACを付与することが可能
55

10. サポートは必ず契約しておくべし
56

有償サポートは必ず契約しましょう
57

有償サポートを契約する理由
課金やクオータ (コア数などの制限) 解除は無償サポートの範囲
テクニカルサポートは、有償サポート契約が必要
Azure に障害が発生した場合、24*7の緊急対応を要請するには
緊急度A(sev .A) に対応したスタンダード以上の契約が必要
58

プログラム特典のサポートを利用する方法も
Microsoft Partner Network
MSDN
Signature Cloud Support
59

まとめ
60

まとめ
各種契約の制限を理解しましょう
アカウントは組織アカウントで統一しましょう
Azure AD 管理者 != Azure サブスクリプション管理者
リソースには最小限のRBACを設定しましょう
サポートは必ず契約しましょう
61

アンケートにご協力ください！
Compass Interract2018ページにアンケートへのリンクとQRコードがあります
https://interact.connpass.com/event/77420/
アンケートリンク
• https://forms.office.com/Pages/ResponsePage.aspx?id=0emDRJ2XDkOMJVhhhABT1kY0s84rWEFM
h6lvLSQ5jRNUQkQ1NzRUV1BZVUY5T1JNUVNSWlhCMlhNMy4u
62

Azureの契約直前・直後に意識しておくこと10箇条

More Related Content

What's hot

Similar to Azureの契約直前・直後に意識しておくこと10箇条

More from Yui Ashikaga

Azureの契約直前・直後に意識しておくこと10箇条