Azure Cosmos DB for NoSQL のセキュリティ用語集

適用対象: NoSQL

この記事には、この Azure Cosmos DB for NoSQL セキュリティ ガイドで使用されている一般的な用語の用語集が含まれています。

ロールベースのアクセス制御

ロールベースのアクセス制御 (RBAC) とは、Azure でリソースへのアクセスを管理するための方法を表します。 この方法は、1 つ以上のリソースに対して保有しているアクセス レベルを管理するロールに割り当てられている特定の ID に基づいたものです。 ロールベースのアクセス制御によって、きめ細かいアクセス管理をするための柔軟なシステムが実現されており、ID には担当するタスクを実行するために必要な最小限の特権レベルのアクセス権のみを持たせるようにすることができます。

詳細については、「ロールベースのアクセス制御の概要」を参照してください。

ID/プリンシパル

ID は、システムに対して何らかのレベルのアクセス権が必要なエンティティを表す Microsoft Entra 内のオブジェクトを指します。 Azure と Microsoft Entra のコンテキストでは、ID は次のいずれかの種類のエンティティを表します。

詳細については、「ID の基礎」を参照してください。

ロール

ロールは、アクセスとアクセス許可を適用する主な単位です。 ID にロールを割り当てます。ロールの定義によって、その ID が持つアクセス レベルが決まります。 割り当てのスコープによって、ID がアクセスできる正確な対象が決まります。

Azure には、さまざまなリソースへのアクセスを許可するために使用できる多数の組み込みロールがあります。 以下に例を示します。

この例では、ユーザーには特定のリソース グループに対する CosmosBackupOperator ロールが割り当てられています。 この割り当てにより、ユーザーはそのリソース グループ内の任意の Azure Cosmos DB アカウントに対して backup または restore アクションを実行できます。

詳細については、「組み込みの Azure ロール」を参照してください。

ロール定義

ロールの定義は、コントロール プレーンとデータ プレーンでの許可されるアクションと許可されていないアクションの一覧を含む JSON オブジェクトです。 CosmosRestoreOperator 組み込みロールにおける、一部を省略した次の例を考えてみましょう。

{
  "roleName": "CosmosRestoreOperator",
  "type": "Microsoft.Authorization/roleDefinitions",
  ...
  "permissions": [
    {
      "actions": [
        "Microsoft.DocumentDB/locations/restorableDatabaseAccounts/restore/action",
        "Microsoft.DocumentDB/locations/restorableDatabaseAccounts/*/read",
        "Microsoft.DocumentDB/locations/restorableDatabaseAccounts/read"
      ],
      "notActions": [],
      "dataActions": [],
      "notDataActions": []
    }
  ],
  ...
}

この定義では、このロールが割り当てられた ID は restore アクションを実行できます。 復元操作が完了すると、ID はさまざまなリソースを読み取り、復元が成功したことを確認できます。 read に対して * (ワイルドカード) 演算子があるため、これらのリソースを読み取ることが可能だと判断できます。

詳細については、「ロールの定義の概念」を参照してください。

ロール割り当て

ロールの割り当てによって、ID に特定の Azure リソースへのアクセスが許可されます。 ロールの割り当ては、次の要素で構成されます。

詳細については、「ロールの割り当ての概念」を参照してください。

アクション

アクションは、ロールがターゲット リソースに対して持つ特定のアクセス許可を定義します。 アクションは、通常、リソースの種類と、そのアクションによって付与されるアクセス許可の詳細を説明する名前を含む文字列です。 次にいくつかの一般的な例を挙げます。

アクションには * (ワイルドカード) 文字を含めることもできます。そのため、特定のサブアクセス許可ごとに手動で詳細を指定する必要はありません。 ワイルドカードを使用したアクションの例をいくつか次に示します。

アクションは、コントロール プレーンとデータ プレーンに分かれています。 コントロール プレーン リソースに対するアクションと、データに影響を与える可能性のあるアクションを個別に定義する必要があります。 ロールの定義では、コントロール プレーン アクションは actions プロパティを使用し、データ プレーン アクションは dataActions プロパティ内にあります。 また、それぞれの notActions プロパティと notDataActions プロパティを使用して、ID が実行できないアクションを定義することもできます。

詳細については、「コントロールおよびデータ アクション」を参照してください。

最小特権

「最小限の特権」の概念とは、すべてのユーザーが各自の担当するタスクまたはジョブの実行に必要な最小限のレベルのアクセス権のみを持つようにするための運用上のベスト プラクティスを指します。 たとえば、データベースからデータを読み取るアプリケーションでは、データ ストアへの読み取りアクセス権限のみが必要です。 そのアプリケーションがデータ ストアへの読み取りと書き込みのアクセス権限を持っていた場合、次のようなこと (ただし、これらに限定されません) が発生する可能性があります。

• アプリケーションが誤ってデータを破棄する可能性がある
• 承認されていないユーザーがアプリケーションの認証情報にアクセスして、データを変更する可能性がある

最小限の特権のプラクティスに従うことで、データ侵害が発生する可能性があってもスコープ内で確実に制限されます。 このプラクティスにより、運用上のセキュリティが最大限に強化され、ユーザーは必要な操作を引き続き行うことができます。

詳細については、「タスク別の推奨される最小特権ロール」を参照してください。

コントロール プレーン

コントロール プレーン アクセスとは、データを管理せずに Azure サービスのリソースを管理する機能を指します。 たとえば、Azure Cosmos DB コントロール プレーン アクセスには、次の機能が含まれる場合があります。

• すべてのアカウントとリソースのメタデータを読み取る
• アカウント キーと接続文字列を読み取る、再生成する
• アカウントのバックアップと復元を実行する
• データ転送ジョブを開始する、追跡する
• データベースとコンテナーを管理する
• アカウントのプロパティを変更する

データ プレーン

データ プレーン アクセスとは、アカウント内のリソースを管理することなく、Azure サービス内でデータの読み取りと書き込みを行う機能を指します。 たとえば、Azure Cosmos DB データ プレーン アクセスには、次の機能が含まれる場合があります。

• アカウントとリソースのメタデータを読み取る
• アイテムを作成する、読み取る、更新する、パッチを適用する、削除する
• NoSQL クエリを実行する
• コンテナーの変更フィードから読み取る
• ストアド プロシージャを実行する
• 競合フィードで競合に対処する

移植可能な認証

開発では、ローカルの開発インスタンスと実稼働インスタンスに対して 2 組の個別の認証ロジックを記述するのが一般的です。 Azure SDK を使用すると、1 つの手法を使用してロジックを記述し、その認証コードを開発環境と実稼働環境でシームレスに動作させることができます。

Azure Identity クライアント ライブラリは、Azure SDK の一部として複数のプログラミング言語で使用できます。 このライブラリを使用すると、環境に応じて適切な認証情報を見つけるために、複数のオプションを順番にインテリジェントに検索する DefaultAzureCredential オブジェクトを作成できます。 これらの認証オプションには、次のものが (順番に) 含まれます。

1. 環境変数として格納されているクライアント シークレットまたは証明書
2. Microsoft Entra ワークロード ID
3. ユーザー割り当てマネージド ID またはシステム割り当てマネージド ID
4. Visual Studio の設定から派生した Azure 認証情報
5. Visual Studio Code の Azure Account 拡張機能で使用されている認証情報
6. Azure CLI からの現在の認証情報
7. Azure PowerShell からの現在の認証情報
8. Azure Developer CLI からの現在の認証情報
9. サインインのためにシステムのブラウザーを起動する対話型セッション

最新の各 Azure SDK ライブラリは、DefaultAzureCredential インスタンスまたはその基本型を受け入れる、それぞれのクライアント オブジェクトまたはクラスのコンストラクターをサポートします。

一意識別子

Microsoft Entra の各 ID には一意識別子があります。 この一意識別子は、id、objectId、または principalId と呼ばれることもあります。 ロールの割り当てを作成するときに、割り当てで使用する ID の一意識別子が必要です。

範囲

ロールを割り当てるときは、アクセス権を付与する Azure リソースまたはグループを決定する必要があります。 ロールの割り当てのスコープによって、割り当てが行われるレベルが定義されます。

次に例を示します。

• 1 つのリソース スコープでは、その単一のリソースのみへのアクセス許可が適用されます
• リソース グループ レベルで設定されたスコープでは、そのグループ内のすべての関連リソースへのアクセス許可が適用されます
• 管理グループ レベルまたはサブスクリプション レベルのスコープは、すべての子グループとリソースに適用されます

Azure ロールベースのアクセス制御でロールを割り当てるときは、ワークロードに必要な最小限のリソースが含まれるようにその割り当てのスコープを設定することをお勧めします。 たとえば、割り当てのスコープをリソース グループに設定できます。 このリソース グループ スコープには、リソース グループ内のすべての Azure Cosmos DB リソースが含まれます。

/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>

また、スコープを 1 つの Azure リソースに設定し、アクセス許可の割り当てをより細かく、狭くすることもできます。 この例では、Azure Cosmos DB リソースのプロバイダーと名前を使用してスコープを絞り込んでいます。

/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.DocumentDB/databaseAccounts/<account-name>

詳細については、Azure のロールベースのアクセス制御のスコープに関する記事を参照してください。

スコープ (Azure Cosmos DB ネイティブ)

Azure Cosmos DB のロールベースのアクセス制御のネイティブ実装では、スコープとは、アクセス許可を適用するアカウント内のリソースの細分性を指します。

最上位レベルでは、最大のスコープを使用して、データ プレーンのロールベースのアクセス制御割り当てのスコープをアカウント全体に設定できます。 このスコープには、アカウント内のすべてのデータベースとコンテナーが含まれます。

/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.DocumentDB/databaseAccounts/<account-name>/

または、データ プレーンのロールの割り当てのスコープを特定のデータベースに限定することもできます。

/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.DocumentDB/databaseAccounts/<account-name>/dbs/<database-name>

最後に、割り当てのスコープを 1 つのコンテナー、つまり最も詳細なスコープに設定できます。

/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.DocumentDB/databaseAccounts/<account-name>/dbs/<database-name>/colls/<container-name>

次のステップ