Azure Policyを使って共通キーでアクセス可能なストレージアカウントの作成を拒否する

はじめに

Azure環境において、ストレージアカウントに共有キーでアクセスすることは推奨されず、Entra IDによる認証が推奨されています。
このブログではAzure Policyを使って、環境内で共有キーでアクセス可能なストレージアカウントの作成を制限してみます。

Azure Policy とは

Azure Policyは、Azureリソースの統制・管理を行うサービスです。
Policyを管理グループ、サブスクリプション、リソースグループに適用することができ、その効果は下位の管理グループ、サブスクリプション、リソースグループに継承されます。

Azure Policyの効果 (effect) は下記の通りです。

• addToNetworkGroup
• append
• audit
• auditIfNotExists
• deny
• denyAction
• deployIfNotExists
• disabled
• manual
• modify
• mutate

Azure Policyはカスタムで作成することもできますが、すでに用意された組み込みポリシーを使うこともできます。
この記事では、組み込みのAzure Policyであるストレージ アカウントでは、共有キーのアクセスを禁止する必要があるを使ってみます。

ストレージ アカウントでは、共有キーのアクセスを禁止する必要がある

ストレージ アカウントでは、共有キーのアクセスを禁止する必要があるの効果 (effect) は Audit、Deny、Disabledが選択可能で、要約するとそれぞれ以下の仕様になっています。

• Audit
  • 共有キーでアクセス可能なストレージアカウントをコンプライアンス非対応として検出
• Deny
  • 共有キーでアクセス可能なストレージアカウントの新規作成を拒否
  • 共有キーでアクセス可能な既存のストレージアカウントをコンプライアンス非対応として検出
• Disabled
  • ポリシーの割り当てを無効にする

やってみる

この検証では以下の管理グループ、サブスクリプションを使用します。
sandbox-02には共有キーでアクセス可能なストレージアカウントがすでに存在します。

• Tenant Root Group
  • wada-management-group ←ここにDenyポリシーをアタッチ
    • sandbox-01
    • sandbox-02

Azure Policy の割り当て

次にAzure Policyの割り当てを行います。
主要なパラメータは以下の通り設定します。

項目	設定値	備考
スコープ	wada-management-group	割り当てる管理グループ,サブスクリプション,リソースグループを指定可能
除外	-	割り当てから除外するリソースを定義できる
ポリシー定義	ストレージ アカウントでは、共有キーのアクセスを禁止する必要がある	割り当てるAzure Policyを選択
割り当て名	ストレージ アカウントでは、共有キーのアクセスを禁止する必要がある
ポリシーの適用	有効
マネージド ID を作成します	無効	修復アクションを実行するロールを作成する場合に有効にする。
マネージド ID の種類	-
システム割り当て ID の場所	-
コンプライアンス非対応のメッセージ	社内ポリシーで禁止されています。	Azure ポリシーによってアクションが拒否された時のメッセージを指定

Azure ポータルからポリシーのページを開きます。

サイドタブから「割り当て」をクリックします。

「ポリシーの割り当て」をクリックします。

スコープの「・・・」をクリックし、割り当て先を選択します。

今回は「wada-management-group」の管理グループを選択し、「Select」をクリックします。

ポリシー定義の「・・・」をクリックし、割り当てたいポリシーを選択します。

「Storage accounts should prevent shared key access」を検索・選択し「追加」をクリックします。

設定を確認し「次へ」をクリックします。

パラメータにDenyを設定し「次へ」をクリックします。

リソースに対して修正アクションは実行しないので、何も選択しないで「次へ」をクリックします。

コンプライアンス非対応のメッセージに任意の文字列を入力して「次へ」をクリックします。
※ここでは、ポリシーによってアクションが拒否された時に表示されるメッセージを定義できます

設定値を確認して「作成」をクリックします。

これでAzure Policyの割り当ては完了です。
ポップアップの通り、検証は15分ほど時間をおいてから行うことを推奨します。

動作検証（既存リソースの確認）

Azure Policyの割り当ての画面から、先ほど実施した割り当てをクリックします。

sandbox-02にあらかじめ作成しておいたストレージアカウントが、コンプライアンス非対応として検出されていました。

動作検証(新規リソースの作成)

続いて、共有キーでアクセス可能なストレージアカウントの新規作成を試みます。

Azure ポータルからストレージアカウントのページを開きます。

ストレージ アカウント名を入力し、その他はデフォルトのまま「次へ」をクリックします。

先ほど設定したコンプライアンス非対応のメッセージが表示されました。

レビューと作成では検証が失敗し、リソースの作成が拒否されました。

終わりに

この記事では、組み込みのAzure Policyであるストレージ アカウントでは、共有キーのアクセスを禁止する必要があるを試してみました。

どなたかのお役に立てれば幸いです。