インスタンスは 複数のサービスに対して存在することができ、これらの組み合わせに基づいて、以下の役割割り当てを行う必要があります。
使うケース 1: フォレンジックのみが有効になっているインスタンス
Option 1: Storage Account Contributor role
フォレンジックの送信先となるストレージアカウントに、ストレージアカウント共同作成者ロールを割り当てます。 フォレンジックの送信先として使用されます。
フォレンジックに加えて他のサービスも選択したインスタンスについては、以下の「フォレンジック + その他のサービスを選択したインスタンス」を参照してください。このドキュメントでは、機能するロールの割り当てについて説明しています。
オプション2：組み込みのリーダーロールとカスタムロール
組み込みのリーダー ロールとカスタム ロール ( Azure でカスタム ロールを作成する手順を参照)、およびカスタム ロール定義内の次のアクセス許可。
-
範囲: ストレージアカウント
-
カスタムロール定義
{
"properties": {
"roleName": "custom-forensics-role",
"description": "Custom role for forensics in addition to the builtin Reader role",
"permissions": [
{
"actions": [
"Microsoft.Storage/storageAccounts/blobServices/containers/write",
"Microsoft.Storage/storageAccounts/listkeys/action",
"Microsoft.Storage/storageAccounts/blobServices/write"
],
"notActions": [],
"dataActions": [],
"notDataActions": []
}
],
"assignableScopes": [
"/subscriptions/<subscription_id>"
]
}
}
オプション 3: カスタム ロールを持つ組み込みストレージ Blob データコントリビューター ロール
組み込みのストレージ Blob データ共同作成者ロールとカスタムロール ( Azure でカスタムロールを作成する手順を参照)、およびカスタムロール定義内の次のアクセス許可。
-
範囲: ストレージアカウント
-
カスタムロール定義
{
"properties": {
"roleName": "custom-forensics-role",
"description": "Custom role for forensics in addition to the builtin Storage Blob Data Contributor role",
"permissions": [
{
"actions": [
"Microsoft.Storage/storageAccounts/listkeys/action",
"Microsoft.Storage/storageAccounts/read"
],
"notActions": [],
"dataActions": [],
"notDataActions": []
}
],
"assignableScopes": [
"/subscriptions/<subscription_id>"
]
}
}
Option 4: Builtin Contributor
これは、幅広い権限を付与する特権的な役割です。
使うケース 2: フォレンジック + その他のサービスが選択されたインスタンス
インスタンスの設定時に選択した各サービスに対して、組み込みのリーダーロールとカスタムロールを割り当てます（ Azure でカスタムロールを作成する手順を参照）。各サービスに対するカスタムロールは、「カスタムロール」セクションで確認できます。
例えば、インスタンスでフォレンジックとDLPが選択されている場合、組み込みのリーダーロールに加えて、カスタムロールと、これら両方のサービスに必要な権限を割り当てます。
{
"properties": {
"roleName": "forensic-dlp-custom-role",
"description": "custom role for forensics and DLP",
"permissions": [
{
"actions": [
"Microsoft.Storage/storageAccounts/listkeys/action",
"Microsoft.Storage/storageAccounts/blobServices/containers/write",
"Microsoft.Storage/storageAccounts/blobServices/write",
"Microsoft.Storage/storageAccounts/read",
"Microsoft.EventGrid/eventSubscriptions/write",
"Microsoft.EventGrid/eventSubscriptions/delete"
],
"notActions": [],
"dataActions": [],
"notDataActions": []
}
],
"assignableScopes": [
"/subscriptions/<subscription_id>"
]
}
}
Custom Roles
カスタムロールを作成する手順については、「Azure でカスタムロールを作成する手順」のセクションを参照してください。
カスタムロール 選択されたサービスに基づいて、組み込みのリーダーロールとともに設定されます。
-
鑑識
{ "properties": { "roleName": "custom-forensics-role", "description": "Custom role for forensics in addition to the builtin Reader role", "permissions": [ { "actions": [ "Microsoft.Storage/storageAccounts/blobServices/containers/write", "Microsoft.Storage/storageAccounts/listkeys/action", "Microsoft.Storage/storageAccounts/blobServices/write" ], "notActions": [], "dataActions": [], "notDataActions": [] } ], "assignableScopes": [ "/subscriptions/<subscription_id>" ] } } -
DLP
{ "properties": { "roleName": "custom-dlp-role", "description": "Custom role for Storage Scan in addition to the builtin Reader role", "permissions": [ { "actions": [ "Microsoft.EventGrid/eventSubscriptions/write", "Microsoft.Storage/storageAccounts/listkeys/action", "Microsoft.EventGrid/eventSubscriptions/delete" ], "notActions": [], "dataActions": [], "notDataActions": [] } ], "assignableScopes": [ "/subscriptions/<subscription_id>" ] } } -
脅威からの保護
{ "properties": { "roleName": "custom-dlp-role", "description": "Custom role for Storage Scan in addition to the builtin Reader role", "permissions": [ { "actions": [ "Microsoft.EventGrid/eventSubscriptions/write", "Microsoft.Storage/storageAccounts/listkeys/action", "Microsoft.EventGrid/eventSubscriptions/delete" ], "notActions": [], "dataActions": [], "notDataActions": [] } ], "assignableScopes": [ "/subscriptions/<subscription_id>" ] } } -
セキュリティ評価
{ "properties": { "roleName": "Netskope CSA Custom Role", "description": "Netskope CSA", "permissions": [ { "actions": [ "Microsoft.Web/sites/config/list/action", "Microsoft.Network/networkWatchers/queryFlowLogStatus/action" ], "notActions": [], "dataActions": [], "notDataActions": [] } ], "assignableScopes": [ "/subscriptions/<subscription_id>" ] } }
Steps to Create a Custom Role in Azure
-
必要な役割定義のためのJSONファイルを準備します。
-
Azure ポータルで、カスタム ロールを割り当てる管理グループ、サブスクリプション、またはリソース グループを開き、アクセス制御 (IAM) を開きます。
-
「追加」をクリックし、次に「カスタムロールを追加」をクリックします。
これにより、カスタムロールエディタが開きます。
-
[基本] タブの [ベースライン アクセス許可] で、[JSON から開始] を選択します。
-
「ファイルをSelectボックスの横にあるフォルダーボタンをクリックして、「開く」ダイアログボックスを開きます。
-
JSONファイルSelect 、「開く」をクリックします。
-
「カスタムロール名」ボックスに、カスタムロールの名前を指定します。
-
[デスク リプション] ボックスで、カスタム ロールのオプションのデスク リプションを指定します。
-
「確認＋作成」をクリックして役割を確認し、最後に「作成」をクリックしてカスタム役割を作成します。
