ロールの割り当ては3つの組み合わせ

Azure RBAC（ロールベースのアクセス制御）では、権限を「ロールの割り当て」で与えます。割り当ては次の3つでできています。

• セキュリティプリンシパル … 誰に。ユーザー、グループ、サービスプリンシパル、マネージドID
• ロールの定義 … 何をできるか。権限のまとまり
• スコープ … どこで。管理グループ、サブスクリプション、リソースグループ、リソースの4段階

上のスコープの割り当ては、下に引き継がれる

サブスクリプションで与えたロールは、その中のリソースグループとリソースにも効きます。複数の割り当ては足し算です。ただし、拒否割り当てがあれば、それが先に効きます。

基本の組み込みロール

• 所有者（Owner） … すべての操作と、権限を人に与えること
• 共同作成者（Contributor） … すべての操作。ただし権限を人に与えられない
• 閲覧者（Reader） … 見るだけ
• ユーザー アクセス管理者 … 権限を人に与えることだけ

Azure のロールと Microsoft Entra のロールは別

グローバル管理者などの Microsoft Entra のロールは、名簿（ユーザーやグループ）を管理する権限です。仮想マシンなどの Azure のリソースを触る権限は、Azure RBAC で別に与えます。

• ロールの割り当て（誰に・何を・どこで）
• 4段階のスコープと引き継ぎ、足し算の考え方
• 所有者・共同作成者・閲覧者・ユーザー アクセス管理者の違い
• Azure のロールと Microsoft Entra のロールの違い