本書は利用者がクラウドサービスを操作する際の利用方針や操作方法を理解するための文書である。本件で言及する対象は、クラウド提供のサービス、クラウド提供のサービスで操作可能なコンポーネントの操作方法に限ることとし、それ以外の操作のためのログインについては本ドキュメントの対象外である。 ## クラウドサービスを操作する3つのパターン以下のようにクラウド提供のサービスへのアクセスパターンを分類する。このパターンに従い運用を行い、かつ、ガバメントクラウドで提供されるゼロトラストサービスを活用することで、ブラウザからクラウドサービスにかけてのゼロトラストが達成できる。 **表:01 クラウドサービスの操作方法**

ユースケース	認証ID	操作インターフェース	ツール	備考
クラウドサービスインフラの構築・設定（テンプレートの適用時やリソースの変更）	GCASユーザー（GCASの認証でSSO）	IDE、コマンドラインツール、Azure PowerShellなど ※CloudShellは利用不可	Azure Pipeline、GitHubActions等（CICDを導入する場合）	テンプレートの適用時やリソースの変更時には、IaCツールであるAzure Resource Manager テンプレート (以下ARMテンプレート)、BicepなどのIaCツールを使用して実施すること。 Terraformなども利用できるが、必須適用テンプレートがARMテンプレートで提供されることから、 ARMテンプレートで管理すると開発がスムーズである。 Cで管理しているコードは、Azure PipelineやGitHubActionsなどのツールを、 IDE等を経由して使い、CICDを行うことを推奨する。
クラウドサービスインフラの構築・設定（テンプレートの適用時やリソースの変更）	GCASユーザー（GCASの認証でSSO）	IDE、コマンドラインツール、Azure PowerShellなど ※CloudShellは利用不可	Azure CLI	テンプレート、リソース、およびデータの参照時や、軽微な変更検証を行う際に利用する。
クラウドサービスインフラの構築・設定内容の参照（テンプレート、リソースの設定内容及びデータの参照）	GCASユーザー（GCASの認証でSSO）	Azure Portal		テンプレート、リソース、およびデータを視覚的に参照するとき。
		IDE、コマンドラインツール、Azure PowerShellなど ※CloudShellは利用不可	Azure Resource Manager テンプレート	マネジメントコンソールは設定内容の概観のために利用。 IaCテンプレートは、パラメータなど設定内容も含め詳細確認用途、もしくは差分を確認する用途で利用。
		IDE、コマンドラインツール、Azure PowerShellなど ※CloudShellは利用不可	Azure CLI	マネジメントコンソールではGUIとして捨象されてしまっているデータを参照したいとき。また、一括で大量の設定情報を抽出したいとき。
外部サービスとの連携（SaaS等）	GCASユーザー（GCASの認証でSSO）	Azure Portal		外部SaaSなどとAPIにて連携する際に利用する。
	Azure Arc＋Azureのロールベースアクセス制御(RBAC）	IDE、コマンドラインツール、Azure PowerShellなど ※CloudShellは利用不可	Azure CLI	サーバーにConnected Machine エージェントをインストールして、Azure Arcで管理を行い連携させる。
	ユーザー（マシンアカウント用）	原則禁止	アクセスキー、シークレットアクセスキー	セキュリティ上の問題から原則禁止となり、統制がかかっております。利用しない連携方法にてご検討ください。
クラウド提供のサービス、クラウド提供のサービスで操作可能なコンポーネント以外の操作のためのログイン（システムを、ハードウェアレイヤー、ミドルウェアレイヤー、アプリケーションレイヤー、ユーザーインターフェース（UI）レイヤーとしたとき、およそミドルウェアレイヤー以上を想定）	OSやミドルウェアのユーザー利用者認証	利用システムの責任範囲であり、準拠すべきセキュリティ要件、セキュリティポリシーに基づいて定めること	利用システムの責任範囲であり、準拠すべきセキュリティ要件、セキュリティポリシーに基づいて定めること

### デジタル庁が提供するテンプレートの適用デジタル庁が提供する必須適用テンプレートなどのテンプレートはARM テンプレートで提供されるため、テンプレートの適用はARM テンプレートを用いて実施すること。適用したテンプレートの参照はAzure PortalやAzure CLIなど任意の方法で実施できる。必須適用テンプレートについては、GCASアカウントを取得の上、GCASガイド（メンバー専用ページ）で公開されているガバメントクラウドテンプレート（メンバー専用ページ→ガバメントクラウドテンプレート/ポリシー→ガバメントクラウドテンプレート/ポリシーのダウンロードページ）を参照すること。 ### クラウドサービスインフラリソースの構築‧設定コードを用いてインフラを定義することができ、冪等性が担保できるため、クラウドサービスインフラリソースの構築‧設定はARMテンプレート、BicepなどのIaCツールを用いて実施することを強く推奨する。また、コード化されたクラウドサービスインフラリソースの設定情報は、CICDが行えるリポジトリへ格納し、CICD化を行うことを強く推奨する。その際、CICDパイプラインにおけるセキュリティに留意すること。 IaCツールの操作インターフェースは、ローカルで利用するIDEやコマンドラインツールなどを想定しており、GCAS SSOユーザーの認証情報にて利用することを想定している。 ### テンプレート、リソースの設定内容及びデータの参照リソースの参照はAzure PortalでGUIにて確認をすることや、Azure CLI/Azure PowerShellなどで設定内容を確認、もしくはARM テンプレートの設定ファイルをコードで確認するなど、任意の方法で実施できる。本番相当環境におけるデータの変更および参照については、運用管理の自動化や操作の再現性を持つことによるオペレーションミスの発生リスクを削減するため、CLI (Azure CLI やAzure PowerShell) の使用を推奨する。 ## クラウドサービスの操作に活用できるツール Azureでは様々な手法にてAzureリソースの管理が行えるようになっており、いずれの手法を採用してもその要求は同一APIを介して処理されるため、同じ結果が得られる。 ![ファイル参照](/images/azure_how-to-operate-cloud-service-01.png) **図01　 Azure リソース操作概念図** ARM テンプレート、Azure Portal、Azure CLI/Azure PowerShell、それぞれのアクセス、ログイン、各種設定、参照、操作方法について以下で示す。 ### Azure Resource Manager テンプレート（ARM テンプレート） ARM テンプレートはjsonコードを用いて各リソースやインフラを定義することができるIaCツール/機能である。各リソースの JSON ビューより該当リソースの json を確認することができる。 ![ファイル参照](/images/azure_how-to-operate-cloud-service-02.png) **図02　 Azure VM リソースのjson情報確認例** - ARM テンプレートについては、以下のドキュメントを参照すること。 [Azureドキュメント：ARM テンプレートとは] https://learn.microsoft.com/ja-jp/azure/azure-resource-manager/templates/overview ### Bicep Bicepは、Azureリソースをデプロイするためのドメイン固有言語 (DSL) である。 Bicepファイルは、デプロイする前にARMテンプレートにコンパイルされる。 Bicepは、ARMテンプレートと同じ機能を提供するが、構文がより使いやすいという特徴がある。 - Bicepついては、以下のドキュメントを参照すること。 [Azureドキュメント：Bicep とは] https://learn.microsoft.com/ja-jp/azure/azure-resource-manager/bicep/overview?tabs=bicep - BicepとARMテンプレートの比較については、以下のドキュメントを参照すること。 [Azureドキュメント：テンプレートにおける JSON と Bicep の比較] https://learn.microsoft.com/ja-jp/azure/azure-resource-manager/bicep/compare-template-syntax?source=recommendations ### Azure Portal Azure Portalは、Microsoft Azureの管理を行うためのWebベースのユーザーインターフェースである。インターネット経由でアクセスを行う。このポータルを使用することで、Azureのリソースとサービスを簡単に作成、管理、監視することができる。 Azure PortalでサポートされているWebブラウザは以下のドキュメントを参照すること。 [Azureドキュメント：推奨されるブラウザー - Azure Portalのドキュメント] https://learn.microsoft.com/ja-JP/azure/azure-portal/azure-portal-supported-browsers-devices#recommended-browsers Azure Portalへのアクセス方法はGCASのシングルサインオン機能の利用前後で異なるため、以下に説明する。 #### GCASシングルサインオン機能利用開始後 - Azure Portalへの直接ログイン Azure PortalのログインURLは以下の通り。プレビュー版の場合は新機能や新しい表示等が確認できる場合、バグの修正が確認できる場合がある。基本的には通常のAzure Portalを用いる。 - Azure Portal https://portal.azure.com/ - Azure Portalの概要と操作方法については以下のドキュメントを参照すること。 [Azureドキュメント：Azure portal とは] https://learn.microsoft.com/ja-jp/azure/azure-portal/azure-portal-overview #### GCASシングルサインオン機能利用開始前 GCASシングルサインオン機能利用開始前は、Azure Portal [https://portal.azure.com](https://portal.azure.com/) へアクセスし、多要素認証を経てログインできる。画面とブラウザの前提条件は前述のGCASシングルサインオン機能利用開始前のセクションを確認すること。 ### Azure のコマンドラインインターフェイス（Azure CLI とAzure PowerShell） - Azure を CLI ベースでアクセス・操作する方法として、必要な権限が付与された任意のユーザーでログインする方法と、マネージドID を有効にしてRBACにより必要な権限が付与された Azure VM 上でCLIコマンドを実行する方法がある。 - Azure を操作するCLIは大きく、 Azure CLI とAzure PowerShellがある。 - Azure CLI とAzure PowerShell がインストール可能な前提条件と、インストール方法については以下の公式Azureドキュメントを確認すること。 [Azureドキュメント：Azure CLI をインストールする方法] https://learn.microsoft.com/ja-jp/cli/azure/install-azure-cli [Azureドキュメント：Azure Az PowerShell モジュールをインストールする] https://learn.microsoft.com/ja-jp/powershell/azure/install-az-ps - Azure CLI / Azure PowerShell の概要と操作方法についてはAzure公式ドキュメントを参照すること。 [Azureドキュメント：Azure コマンドラインインターフェイス (CLI) ドキュメント] https://learn.microsoft.com/ja-jp/cli/azure/ [Azureドキュメント：Azure PowerShell のドキュメント] https://learn.microsoft.com/ja-jp/powershell/azure/ #### Azure VM にマネージドIDを付与してCLIを利用する方法 Azure VM にマネージド ID を付与してその Azure VM から Azure CLI/Azure PowerShell を実行するAzure CLI の場合の例は以下の通りである。 1. まず、Azure VM を作成するか、既存の Azure VM にマネージド ID を有効にする。 2. 次に、Azure VM 上で Azure CLI をインストールする。 3. 最後に、Azure CLI の az login コマンドを使用して、マネージド ID でサインインする。 - 詳細については下記を参照すること。 [Azureドキュメント：Azure CLI を使用して Azure VM 上に Azure リソースのマネージド ID を構成する] https://learn.microsoft.com/ja-jp/entra/identity/managed-identities-azure-resources/qs-configure-cli-windows-vm [Azureドキュメント：Azure VM 上の Azure リソースのマネージド ID を使用してサインインする方法] https://learn.microsoft.com/ja-jp/entra/identity/managed-identities-azure-resources/how-to-use-vm-sign-in ## 改訂履歴 | 改訂年月日 | 改訂理由 | | ---------- | -------- | | 2023年06月30日 | 新規作成 | | 2023年11月27日 | [Azureドキュメント]リンクの変更対応(Azure VM にマネージドIDを付与してCLIを利用する方法) | | 2024年03月01日 | 「Azure Portal」をGCAS SSOを考慮した内容に修正 | | 2024年07月19日 | ガバメントクラウドテンプレートのダウンロードページについて記載を修正 | | 2024年09月02日 |クラウドサービスの操作方法及びテンプレート等について記載内容を修正| | 2024年10月31日 |表記揺れを修正|

クラウドサービスの操作方法(Azure編)