ARM テンプレートとしての認証を無効にする

[アーティクル]
12/12/2023

Azure AD トークンは、レジストリユーザーが ACR で認証されるときに使用されます。既定では、Azure Container Registry (ACR) は、Azure リソースを管理するためのコントロールプレーン管理レイヤーである Azure Resource Manager (ARM) の対象ユーザースコープが設定された Azure AD トークンを受け入れます。

ARM 対象ユーザートークンを無効にし、ACR 対象ユーザートークンを適用することで、受け入れられたトークンのスコープを絞り込むことで、認証プロセス中にコンテナーレジストリのセキュリティを強化できます。

ACR 対象ユーザートークンの適用では、レジストリ認証とサインインプロセス中に、ACR に対して明示的に設定された対象ユーザースコープを持つ Azure AD トークンのみが受け入れられます。つまり、以前に受け入れられた ARM 対象ユーザートークンはレジストリ認証に対して有効ではなくなり、コンテナーレジストリのセキュリティが強化されます。

このチュートリアルでは、次の作業を行う方法について説明します。

ACR で authentication-as-arm を無効にする - Azure CLI。
ACR で authentication-as-arm を無効にする - Azure portal。

前提条件

バージョン 2.40.0 以降の Azure CLI をインストールするかアップグレードします。バージョンを確認するには、az --version を実行します。
Azure portal にサインインします。

ACR で authentication-as-arm を無効にする - Azure CLI

azureADAuthenticationAsArmPolicy を無効にすると、レジストリで ACR 対象ユーザートークンが強制的に使用されます。 Azure CLI バージョン 2.40.0 以降を使用できます。バージョンを確認するには az --version を実行します。

レジストリでの ARM トークンを使用した認証のためのレジストリのポリシーの現在の構成を表示するコマンドを実行します。状態が enabled の場合は、APR と ARM の両方の対象ユーザートークンを認証に使用できます。状態が disabled の場合は、ACR の対象ユーザートークンのみを認証に使用できることを意味します。
```
az acr config authentication-as-arm show -r <registry>
```
レジストリのポリシーの状態を更新するコマンドを実行します。
```
az acr config authentication-as-arm update -r <registry> --status [enabled/disabled]
```

ACR で authentication-as-arm を無効にする - Azure portal

組み込みポリシーを割り当てて authentication-as-arm プロパティを無効にすると、現在および将来のレジストリのレジストリプロパティが自動的に無効になります。この自動動作は、ポリシースコープ内に作成されたレジストリに対して行われます。使用可能なポリシースコープには、テナント内のリソースグループレベルのスコープまたはサブスクリプション ID レベルのスコープが含まれます。

ACR で authentication-as-arm を無効にするには、次の手順に従います。

Azure portal にサインインします。
azure-container-registry-built-in-policy 定義の ACR の組み込みポリシー定義を参照してください。
authentication-as-arm 定義を無効にする組み込みポリシーを割り当てる - Azure portal。

ARM 対象ユーザートークン認証を無効にするための組み込みのポリシー定義を割り当てる - Azure portal。

レジストリの条件付きアクセスポリシーは、Azure portal で有効にすることができます。

Azure Container Registry には、次のように authentication-as-arm を無効にする 2 つの組み込みポリシー定義があります。

Container registries should have ARM audience token authentication disabled. - このポリシーは、準拠していないリソースを報告してブロックし、準拠していないリソースを準拠しているリソースに更新する要求も送信します。
Configure container registries to disable ARM audience token authentication. - このポリシーは、修復を提供し、準拠していないリソースを準拠しているリソースに更新します。
1. Azure portal にサインインします。
2. [Azure Container Registry]>[リソースグループ]>[設定]>[ポリシー] に移動します。
3. [Azure Policy] に移動し、[割り当て] で [ポリシーの割り当て] を選択します。
4. [ポリシーの割り当て] で、フィルターを使用して、[スコープ]、[ポリシー定義]、[割り当て名] を検索します。
5. [スコープ] を選択し、[サブスクリプション] と [リソースグループ] をフィルター処理して検索し、[選択] を選択します。
6. [ポリシー定義] を選択して、条件付きアクセスポリシーの組み込みポリシー定義をフィルター処理して検索します。
7. フィルターを使用して、[スコープ]、[ポリシー定義]、[割り当て名] を選択して確認します。
8. フィルターを使用し、コンプライアンスの状態を限定するか、ポリシーを検索します。
9. 設定を確認し、ポリシーの適用を [有効] に設定します。
10. [確認および作成] を選択します。