Template Spec と Automation を用いてユーザーに NW 権限を与えずにストレージアカウントとプライベートエンドポイントをデプロイさせる

はじめに

Azure 環境を使わせるにあたり、PaaS サービスは必ずプライベートエンドポイントで使わせたい、ユーザーに NW 周りを操作する権限は与えなくない、といった制限をかけたい場合があると思います。

完全にクローズドな環境とするのは難しいため、可能な範囲で通信や権限を許可して使いやすくしたいところですが、ポリシー上どうしても許容できない場合もあるでしょう。

ポリシーを活用してプライベートエンドポイント必須にすることはできますが、サービスによっては、ポータルでのデプロイと同時にプライベートエンドポイントを有効化できなかったり、 NW 関連の権限をすべて奪ってしまうとプライベートエンドポイントができなくなったりと、細かい調整が難しかったりします。

それを解決できそうな方法として、テンプレートスペックと Automation を使う方法を試してみました。

こちらの別バージョンとして、Microsoft Forms + Azure Logic Apps + Template Spec で構成したものを技術書典で販売した同人本でまとめています。ご興味があればこちらもご覧ください。

techbookfest.org

構成

構成を図示するとこんな感じです。

やりたいことはこれ

ユーザーは、サブスクリプションの閲覧者ロールと Automation オペレーターロールを持つ
Azure Automation のマネージド ID は、サブスクリプションの共同作成者ロールを持つ
PaaS サービス (Storage Account) + プライベートエンドポイントをデプロイする bicep テンプレートを作成し、テンプレートスペックとして登録しておく
ユーザー自身にリソース作成権限はないが、 Automation Runbook を実行するとテンプレートスペックがデプロイされリソースが作成される

Automation Runbook に権限を与えてテンプレートスペックをデプロイさせることで、ユーザーに直接リソースを操作する権限を与えないけどデプロイができる状況を作ろう、という感じです。

※よくよく考えたら、この構成だとユーザーは Template Spec の読み取り権限すらなくても OK でした。

テンプレートスペック作成

ARM テンプレートもしくは Bicep を登録しておくことができ、Azure ポータルからデプロイに利用することができます。
簡単なバージョン管理もできます。

docs.microsoft.com

テンプレートスペックをデプロイするには、テンプレートスペック自体の読み取り権限と、テンプレートでデプロイするリソースの操作権限が必要です。

今回のテンプレートではストレージアカウントや、プライベートエンドポイントの権限が必要になりますが、ユーザーには権限を付与しません。

今回の構成で使用したテンプレートはこちら

github.com

既存の VNet 、サブネットに対してプライベートエンドポイントと、それと関連付けたストレージアカウントをデプロイします。
ストレージアカウントはパブリックアクセスを完全に無効にしています。

本来であれば Azure DNS プライベートゾーンにレコードをデプロイまで含めると思いますが、今回想定していたシナリオ的にそこまでは入れていません。

テンプレートスペックの作成はポータルからもできますが、現状、bicep の場合は次のようなコマンドから作成する必要があります。

az ts create --name StorageWithPE --version "1.0" --resource-group pe-bicep-spoke --location japaneast --template-file ".\Storage\StorageWithPrivateEndpoint.bicep"

Azure Automation

Runbook 作成

Azure Automation の PowerShell Runbook を作成します。
今回作成したのはこれ (コメントはデバッグ用)

param(
    [string] $location,
    [string] $ResourceGroup_Name,
    [string] $VNet_Name,
    [string] $Subnet_Name,
    [string] $Storage_Name,
    [string] $Storage_SKU
)

$TemplateSpec_Name = "StorageWithPE"
$TemplateSpec_ResourceGroup = "pe-bicep-spoke"

Connect-AzAccount -identity

# Write-Output "Input"
# Write-Output "Location:"$location
# Write-Output "RG Name:"$ResourceGroup_Name
# Write-Output "VNet Name:"$VNet_Name
# Write-Output "Subnet Name:"$Subnet_Name
# Write-Output "Storage Name:"$Storage_Name
# Write-Output "Storage SKU:"$Storage_SKU

$TemplateSpec = Get-AzTemplateSpec -ResourceGroupName $TemplateSpec_ResourceGroup -Name $TemplateSpec_Name
$LatestVersionId = "init"

if ($TemplateSpec.Versions.ID.GetType().FullName -eq "System.String"){
    $LatestVersionId = $TemplateSpec.Versions.ID
}elseif($TemplateSpec.Versions.ID.GetType().FullName -eq "System.Object[]"){
    $LatestVersionId = $TepmlateSpec.Versions.ID[$TepmlateSpec.Versions.length - 1]
}

# Write-Output "Get Template Spec"
# Write-Output "Spec ID:"$LatestVersionId

New-AzResourceGroupDeployment `
    -ResourceGroupName $ResourceGroup_Name `
    -TemplateSpecId $LatestVersionId `
    -location $location `
    -VNetName $VNet_Name `
    -SubnetName $Subnet_Name `
    -Storage_Name $Storage_Name `
    -Storage_SKU $Storage_SKU

スクリプトでは、以下のことを行います。