Azure のロールの割り当て条件の形式と構文

条件は、よりきめ細かなアクセス制御を行うために、必要に応じてロールの割り当てに追加できる追加のチェックです。 たとえば、特定のタグが設定されたオブジェクトしか読み取れない、という条件を設定できます。 この記事では、ロールの割り当て条件の形式と構文について説明します。

条件の形式

ロールの割り当て条件をよりよく理解するには、形式を確認することが役立ちます。

単純な条件

最も基本的な条件は、対象となるアクションと式で構成されます。 アクションは、あるリソースの種類に対してユーザーが実行できる操作です。 式は、true または false に評価されるステートメントであり、アクションの実行が許可されるかどうかを決定します。

単純な条件の形式を次に示します。

(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
    )
)

次の条件には、"BLOB を読み取る" というアクションがあります。 式では、コンテナー名が blobs-example-container であるかどうかがチェックされます。

(
    (
        !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'})
    )
    OR 
    (
        @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name]
        StringEquals 'blobs-example-container'
    )
)

条件の評価方法

ユーザーがロールの割り当て内の、<action> でないアクションを実行しようとする場合、!(ActionMatches) は true に評価され、全体的な条件は true に評価されて、アクションの実行が許可されます。

ユーザーがロールの割り当て内の <action> を実行しようとする場合、!(ActionMatches) は false に評価され、それにより、式が評価されます。 式が true に評価された場合、全体的な条件は true に評価され、<action> の実行が許可されます。 それ以外の場合は、<action> の実行は許可されません。

次の擬似コードは、この条件を読み取ることができるもう 1 つの方法を示しています。

if a user tries to perform an action in the role assignment that does not match <action>
{
    Allow action to be performed
}
else
{
    if <attribute> <operator> <value> is true
    {
        Allow <action> to be performed
    }
    else
    {
        Do not allow <action> to be performed
    }
}

サブ操作

一部のアクションには副操作があります。 たとえば、Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read データ アクションには副操作 "BLOB の一覧表示" があります。 副操作を含む条件の形式は次のとおりです。

(
    (
        !(ActionMatches{'<action>'}
        AND
        SubOperationMatches{'<subOperation>'})

    )
    OR
    (
        <attribute> <operator> <value>
    )
)

複数のアクション

条件には、その条件が true の場合に許可する複数のアクションを含めることができます。 1 つの条件に対して複数のアクションを選択すると、選択したアクション全体で属性が使用できる必要があるため、条件のために選択する属性の数は少なくなる可能性があります。

(
    (
        !(ActionMatches{'<action>'})
        AND
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
    )
)

複数の式

条件には複数の式を含めることができます。 演算子に応じて、属性を複数の値に対してチェックできます。

(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
        AND | OR
        <attribute> <operator> {<value>, <value>, <value>}
        AND | OR
        <attribute> <operator> <value>
    )
)

複数の条件

条件を組み合わせて複数のアクションを対象にすることもできます。

(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
        AND | OR
        <attribute> <operator> {<value>, <value>, <value>}
        AND | OR
        <attribute> <operator> <value>
    )
)
AND
(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
        AND | OR
        <attribute> <operator> <value>
    )
)

条件の構文

ロールの割り当て条件の構文を次に示します。

(
    (
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        ...
    )
    OR
    (
        <attribute> <operator> {<value, <value>, ...}
        AND | OR
        <attribute> <operator> {<value>, <value>, ...}
        AND | OR
        ...
    )
)
AND
(
    (
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        ...
    )
    OR
    (
        <attribute> <operator> {<value, <value>, ...}
        AND | OR
        <attribute> <operator> {<value>, <value>, ...}
        AND | OR
        ...
    )
)
AND
...

アクション

現在条件を追加できるのは、BLOB ストレージまたはキュー ストレージ データ アクションがある、組み込みまたはカスタムのロール割り当てです。 これらには、次の組み込みロールが含まれます。

• ストレージ BLOB データ共同作成者
• ストレージ BLOB データ所有者
• ストレージ BLOB データ閲覧者
• ストレージ キュー データ共同作成者共同作成者
• ストレージ キュー データのメッセージ プロセッサ
• ストレージ キュー データ メッセージ送信者
• ストレージ キュー データ閲覧者

条件で使用できるストレージ アクションの一覧については、以下を参照してください。

• Azure Blob Storage 内での Azure のロールの割り当て条件のアクションと属性
• Azure Queue Storage 用 Azure のロールの割り当て条件のアクションと属性。

属性

選択したアクションによっては、属性が異なる場所にある場合があります。 1 つの条件に対して複数のアクションを選択した場合、属性は、選択したすべてのアクションに対して使用できる必要があるため、その条件に対して選択できる属性の数は少なくなる場合があります。 属性を指定するには、ソースをプレフィックスとして含める必要があります。

条件で使用できるストレージ属性の完全な一覧については、以下を参照してください。

• Azure Blob Storage の属性
• Azure Queue Storage の属性

環境属性

環境属性は、日時やネットワーク環境など、アクセス要求が行われた状況に関連付けられます。 ネットワーク環境は、アクセスが特定のプライベート エンドポイント経由、仮想ネットワーク サブネット経由、または任意のプライベート リンク経由のいずれかの可能性があります。

次の表に、条件に対してサポートされている環境属性を示します。

¹ コピー操作の場合、Is private link、Private endpoint、Subnet 属性はソースではなく、ストレージ アカウントなどの宛先にのみ適用されます。 これが適用されるコピー操作の詳細については、表の各属性を選択して詳細を参照してください。
² サブスクリプションに 1 つ以上のプライベート エンドポイントが構成されている場合に、Private endpoint 属性のみ使用できます。
³ 現時点で、サブスクリプションにサービス エンドポイントを使用する 1 つ以上の仮想ネットワーク サブネットが構成されている場合に、Subnet 属性のみ使用できます。

プリンシパル属性

プリンシパル属性は、リソースへのアクセスを要求するセキュリティ プリンシパルに割り当てられるカスタム セキュリティ属性です。 セキュリティ プリンシパルは、ユーザーまたはエンタープライズ アプリケーション (サービス プリンシパル) の場合があります。

プリンシパル属性を使用するには、次のものが必要です。

• サインインしているユーザーの、属性割り当て管理者ロールなどの Microsoft Entra アクセス許可
• Microsoft Entra ID で定義されているカスタム セキュリティ属性

カスタム セキュリティ属性の詳細については、以下を参照してください。

• Microsoft Entra ID でカスタム セキュリティ属性を追加または非アクティブ化する
• タグとカスタム セキュリティ属性に基づいて BLOB への読み取りアクセスを許可する
• 属性ソースにプリンシパルが表示されない

要求属性

要求属性は、一覧表示される BLOB の指定されたプレフィックスなど、アクセス要求で指定された基準に関連付けられます。

リソース属性

リソース属性は、ストレージ アカウント名、コンテナー名、ストレージ アカウントに対して階層型名前空間が有効になっているかどうかなど、アクセスが要求されるオブジェクトに関連付けられます。

関数演算子

このセクションでは、条件を構成するために使用できる関数演算子を一覧で示します。

ActionMatches

SubOperationMatches

Exists

¹ Exists 演算子は、Azure portal のビジュアル ABAC 条件ビルダーで、これらの属性に対してのみサポートされます。 Exists 演算子は、PowerShell、Azure CLI、REST API、Azure portal の条件コード エディターなど、他のツールを使って任意の属性に追加できます。

論理演算子

このセクションでは、条件を構成するために使用できる論理演算子を一覧で示します。

および

または

Not

ブール値の比較演算子

このセクションでは、条件を構成するために使用できるブール値の比較演算子を一覧で示します。

文字列の比較演算子

このセクションでは、条件を構成するために使用できる文字列の比較演算子を一覧で示します。

StringEquals

StringNotEquals

StringStartsWith

StringNotStartsWith

StringLike

StringNotLike

数値の比較演算子

このセクションでは、条件を構成するために使用できる数値の比較演算子を一覧で示します。

DateTime 比較演算子

このセクションでは、条件の構築に使用できる日付/時刻の比較演算子の一覧を示します。

GUID 比較演算子

このセクションでは、条件の構築に使用できるグローバル一意識別子 (GUID) の比較演算子の一覧を示します。

クロス積の比較演算子

このセクションでは、条件の構築に使用できるクロス積の比較演算子の一覧を示します。

ForAnyOfAnyValues

ForAllOfAnyValues

ForAnyOfAllValues

ForAllOfAllValues

特殊文字

グループ化と優先順位

対象のクションに対して 3 つ以上の式があり、式の間で演算子が異なっている場合、評価の順序はあいまいです。 かっこ () を使用して式をグループ化し、式を評価する順序を指定します。 かっこで囲まれた式は、より高い優先順位になります。 たとえば、次のような式があるとします。

a AND b OR c

次のいずれかの方法でかっこを追加する必要があります。

(a AND b) OR c

a AND (b OR c)

次のステップ

• Blob Storage での Azure ロールの割り当て条件の例
• Azure portal で Azure ロールの割り当て条件を追加または編集する