Azure ADのエンタープライズアプリケーションに対するアクセスレビュー機能を試してみた

Microsoft Entra にはユーザーの利用状況を棚卸しできるアクセスレビュー機能があります。

アクセス レビューとは - Microsoft Entra | Microsoft Learn

今回は、Microsoft Entra に含まれる Azure AD のエンタープライズアプリケーションに対するアクセスレビューを試してみたいと思います。

試してみた

前提条件として、アクセスレビューの利用には Azure AD Premium P2 ライセンスが必要です。詳細な条件は次のドキュメントに記載があります。

ライセンスの要件

アクセスレビューを用いることで、アクセス権の棚卸しができます。例えば、異動や退職で不要となったユーザーの棚卸しなどに活用できます。

アクセスレビューを使用すべき状況は次のドキュメントにまとまっています。

アクセス レビューを使用すべきとき

アクセスレビューの設定

本ブログでは、Azure AD のエンタープライズアプリケーションに対するアクセスレビューを構成して確認してみます。

対象とするエンタープライズアプリケーションには AWS IAM Identity Center (旧 AWS Single Sign-on) を関連付けています。

始めに、Azure AD のエンタープライズアプリケーションの「アクセスレビュー」から「新しいアクセス レビュー」を作成します。

対象のエンタープライズアプリケーションを選択します。スコープはすべてのユーザーとしています。

次に、レビュープロセスに関する設定を行います。今回はテスト目的なので、レビュー期間 (日数) は1 日とし、確認の繰り返しも1 回としています。

次に、リソースへの結果の自動適用（レビュー完了後にアクセスを拒否したユーザーを削除するかどうか）やレビュー担当者が応答しない場合の対応、レビューの通知先を設定します。今回は「リソースへの結果の自動適用」は無効にしています。また、レビュー担当者が応答しない場合でも何もしない設定としています。

最後に、アクセスレビュー名を入力し、設定内容を確認してから作成します。

以上で設定は完了です。

アクセスレビューの詳細画面です。レビュー実施前なので、レビュー対象のユーザーはすべて未レビュー状態です。

アクセスレビューの実施

レビュー担当者に指定したユーザーに次のような依頼メールが届いていました。

メールの「レビューを開始する」をクリックするとレビュー画面が表示されます。

レコメンデーションでは、サインインしてから 30 日未満のユーザーは承認するが推奨されています。

利用中のユーザーを選択して「承認する」を選択してみます。理由欄を入力して「送信」します。

30 日以上サインインしていないユーザーでは拒否が推奨されています。

承認時と同様に、利用していないユーザーは「拒否」を選択してみます。理由欄を入力して「送信」します。

レビュー後は決定欄に選択した結果が表示されます。

以上の要領ですべてのユーザーのレビューを終わらせます。

レビュー内容は Azure Portal のアクセスレビューの詳細画面にも反映されています。

期限である 1 日が経過するとレビューが終了したことを告げるメールを受信しました。

改めて結果を確認してみます。結果欄で承認済みなのか拒否なのか確認できます。レビュー結果は CSV ファイルとしてダウンロードすることもできます。

以上で、アクセスが不要なユーザーの棚卸しができました。今回はアクセスレビューの設定で「リソースへの結果の自動適」を無効にしているため、アクセスを拒否したユーザーでも削除されずに残ったままです。

なお、レビュー後の設定画面は非活性となっており、変更できなくなっていました。

さいごに

AZ-500 の勉強をしており、自身の復習も兼ねて Azure AD のアクセスレビュー機能を試してみました。

このブログがどなたかのご参考になれば幸いです。