Azure AD ユーザーの作成とサブスクリプションのアクセス権割り当て

今回は Azure AD ユーザーアカウントの作成と Azure サブスクリプションへのアクセス権を割り当て方法を紹介します。手順は大したことないですが、若干概念として複雑なところがあるので説明を交えながら進めます。

Microsoft アカウントと Azure AD アカウント
1. Microsoft アカウント
2. Azure AD アカウント
Azure AD ユーザーアカウントの作成
Azure AD ロールと Azure サブスクリプションロール
Azure サブスクリプションのロール割り当て
作成した Azure AD アカウントの確認

Microsoft アカウントと Azure AD アカウント

よく混同されがちですが、Microsoft アカウントと Azure AD アカウントは別のものになります。

Microsoft アカウント

Microsoft アカウントは主に個人用で、そのアカウント情報を管理しているのはユーザー自身です。登録時には、@outlook.jp や @gmail.com などの個人メールアドレスを使います。Microsoft が提供するコンシューマー向けサービスを利用するのに必要です。

Azure AD アカウント

Azure AD アカウントは別名で組織（職場または学校）アカウントなどとも呼ばれます。これらのアカウントを管理するのは組織の管理部門になります。組織が持っているメールアドレスなどのドメインを利用して作られる場合が多いです。

そしてこの Azure AD アカウントは Azure AD で管理されます。Azure AD に関連づけられた Office 365 や Microsoft 365 、Microsoft Azure といったサービスに対するライセンスの割り当てなども同様に Azure AD で行われます。

Azure AD ユーザーアカウントの作成

Azure ポータルにて、[Azure Active Directory] のメニューから [ユーザー] をクリックします。

Azure AD に登録されているユーザーアカウントの一覧が表示されます。（Azure サブスクリプションをサインアップした Microsoft アカウントも標準で登録されています）

上部の [新しいユーザー] をクリックします。

ウィザードに従ってユーザーを作成していきます。

[ユーザー名]：（任意のユーザー名）（ドメインは任意のものを選択）
[名前]：（ユーザーを識別するための任意の表示名）
[名]：（ユーザーの名前）
[姓]：（ユーザーの苗字）
[パスワード]：（自動生成か任意のパスワードを設定）
※初回サインインのためパスワードを控えておくこと
[グループ]：未選択（必要に応じて Azure AD グループを選択）
[役割]：（必要に応じて Azure AD ロールを割り当て）
※今回は最上位権限であるグローバル管理者
[サインインのブロック]：いいえ
[利用場所]：日本
[役職]：（必要に応じて組織内の役職を入力）
[部署]：（必要に応じて組織内の部署を入力）

今回は [役割] のところで、Azure AD ロールの中でも最上位権限である [グローバル管理者] を割り当てています。この役割は Azure AD に関する全ての権限を持っているので、取り扱いには注意してください。

Azure AD ロールと Azure サブスクリプションロール

次は Azure サブスクリプションに権限を割り当てるのですが、その前少しややこしい Azure AD とサブスクリプションの権限＝ロールの話をします。

先ほど Azure AD ユーザーを作成するときに選択したように、Azure AD には役割＝ロールと呼ばれる概念があります。これは、ユーザーに対してどのような操作が許可されるかを定義したものと考えてください。

Azure AD ロール

Azure AD ロールは、Azure AD で扱うものに対する管理権限を定義したものです。Azure AD で扱うものは、ユーザーアカウントやグループ、デバイス、アプリケーション、Office アプリ、セキュリティ、監査、コンプライアンスなど多岐に渡ります。中には設定の変更が可能な管理者ロールと、情報の閲覧のみが可能な閲覧者ロールに分かれているものもあります。

Azure AD ロースの種類については以下の Docs にまとまっています。みていただくとわかりますが、種類は非常に多いです。