WEB問題集
Contoso では、経理部門の担当者に請求関連の管理だけを任せます。担当者は 1 名で、テナント全体を対象に課金管理者ロールを持たせます。
あなたは特権ロール管理者として Microsoft Entra 管理センターにサインインし、組み込みロールをテナント スコープで割り当てます。
行う操作はどれですか。
解説
【正解: B】の理由
テナント スコープでの割り当ては、Microsoft Entra 管理センターの [Entra ID] の [役割と管理者] から行います。ロール名を選択してロールを開き、[割り当ての追加] を選んで、このロールに割り当てるユーザー、グループ、またはエージェント ID を選び、[追加] を選択します。この操作の前提条件は特権ロール管理者です。テナント スコープはロールの割り当ての directoryScopeId ではスラッシュ 1 文字で表され、組織内のすべてのリソースが対象になります。なお [割り当ての追加] の一覧にはロール割り当て可能なグループだけが表示されるため、グループへ割り当てる場合はロール割り当て可能なグループを先に作成しておきます。
【他選択肢が違う理由】
- A: ロールの横にチェック マークを追加しないという注意が公式の手順に明記されています。チェック マークを付けるのではなく、ロール名そのものを選択してロールを開きます。
- C: 課金管理者は組み込みロールで、ロール定義は Microsoft が作成したもので変更できません。ユーザー側の [割り当てられたロール] は割り当ての確認に使う画面で、定義の新規作成はできません。
- D: Azure CLI は Microsoft Entra ロールの割り当てではサポートされていません。管理センター、Microsoft Graph PowerShell、Microsoft Graph API のいずれかを使います。
【参考】
Microsoft Entra ロールを割り当てる
Microsoft Entra ID でのロールベースのアクセス制御の概要
Microsoft Entra ビルトイン ロール
Contoso の開発者に、Litware Expense アプリの登録 1 つだけを管理させます。テナント内の他のアプリ登録は対象外です。
次の表は、ロールの割り当てで指定できるスコープと directoryScopeId の値です。
| スコープ | directoryScopeId に指定する値 |
|---|---|
| テナント | スラッシュ 1 文字 |
| 管理単位 | administrativeUnits の下に管理単位の ID |
| Microsoft Entra リソース | スラッシュに続けてリソースのオブジェクト ID |
Microsoft Graph PowerShell で New-MgRoleManagementDirectoryRoleAssignment を実行して割り当てます。指定する内容はどれですか。
解説
【正解: C】の理由
アプリ登録スコープの割り当てでは、Get-MgApplication で対象のアプリ登録を取得し、そのオブジェクト ID をスラッシュに続けた値を DirectoryScopeId に指定します。この形のスコープは、プリンシパルがその Microsoft Entra オブジェクト自体を管理できることを意味します。管理単位で使うスコープの形とは意図的に区別されていて、administrativeUnits を含む形は、管理単位自体ではなく管理単位のメンバーを管理できることを表します。組み込みロールとカスタム ロールは既定でテナント スコープで割り当てられ、組織内のすべてのアプリ登録に対するアクセス許可を与えるため、対象を 1 つに絞るときはリソース スコープを明示します。
【他選択肢が違う理由】
- A: スラッシュ 1 文字はテナント スコープです。この指定ではテナント内のすべてのアプリ登録が対象になり、1 つのアプリ登録だけに絞るという要件を満たしません。
- B: administrativeUnits を含むスコープは管理単位のメンバーを管理するための形式で、アプリ登録には使いません。サポートされないロールを指定すると要求は不適切な要求になります。
- D: PrincipalId はアクセス許可を受け取るセキュリティ プリンシパルを指す値で、スコープの対象ではありません。省略するとテナント スコープの割り当てになります。
【参考】
Microsoft Entra ロールを割り当てる
Microsoft Entra ID でのロールベースのアクセス制御の概要
Contoso はロールの割り当て方法を要件ごとに使い分けます。テナントには Microsoft Entra ID P1 があります。
次の各要件に対して、採用する割り当て方法を対応付けてください。
- ロール割り当て可能グループ
- アプリ登録スコープでの割り当て
- 管理単位スコープでの割り当て
- ユーザーへの直接割り当て
解説
【正解マッチング】
| 要件 | 割り当て方法 |
|---|---|
| 既定の方法で 1 人に権限を付与する | ユーザーへの直接割り当て |
| メンバーの出し入れで権限を切り替える | ロール割り当て可能グループ |
| 1 つのアプリの登録だけを管理させる | アプリ登録スコープでの割り当て |
| 特定部門のメンバーだけを管理させる | 管理単位スコープでの割り当て |
【ポイント】
ロールをユーザーに直接割り当てる方法は、ロールを割り当てる既定の方法です。Microsoft Entra ID P1 があれば、ロール割り当て可能なグループを作成してそのグループへロールを割り当てられます。個人ではなくグループに割り当てると、ロールからユーザーを簡単に追加または削除でき、グループのすべてのメンバーに対して一貫したアクセス許可ができます。スコープを絞る場合、アプリ登録などの Microsoft Entra リソースをスコープにすると、そのリソース自体に対するアクセス許可だけが付与されます。管理単位をスコープにすると、ロールのアクセス許可は管理単位のメンバーを管理するときにだけ適用され、テナント全体の設定や構成には適用されません。たとえば管理単位のスコープでグループ管理者を割り当てた管理者は、有効期限やグループの名前付けポリシーなどのテナント レベルの設定を管理できません。
【参考】
Microsoft Entra ID でのロールベースのアクセス制御の概要
Microsoft Entra ロールを割り当てる
Microsoft Entra グループを使用してロールの割り当てを管理する
Contoso は Microsoft Graph PowerShell でロールの割り当てを作成しています。要件ごとに DirectoryScopeId へ渡す値が変わります。
次の各要件に対して、DirectoryScopeId に指定する値を選択してください。
| ステートメント | 選択 |
|---|---|
|
テナント内のすべてのリソースを対象に割り当てる
|
|
|
管理単位のメンバーだけを管理させる
|
|
|
アプリ登録のオブジェクト自体を管理させる
|
解説
【正解マッチング】
| 要件 | DirectoryScopeId |
|---|---|
| テナント内のすべてのリソースを対象に割り当てる | / |
| 管理単位のメンバーだけを管理させる | /administrativeUnits/{id} |
| アプリ登録のオブジェクト自体を管理させる | /{id} |
【ポイント】
Microsoft Entra ID では、通常ロールはテナント全体に適用されるように割り当てられ、そのときのスコープはスラッシュ 1 文字です。管理単位をスコープにするときは Get-MgDirectoryAdministrativeUnit で管理単位を取得し、administrativeUnits の下にその ID をつなげた値を渡します。この形のスコープは、プリンシパルが管理単位自体ではなく、割り当てられたロールに基づいて管理単位のメンバーを管理できることを意味します。一方、スラッシュにオブジェクト ID を続けただけの形は、プリンシパルがその Microsoft Entra オブジェクト自体を管理できることを意味し、アプリ登録をスコープにするときに使います。両者の違いは意図的な設計で、取り違えるとアクセス許可の及ぶ範囲が変わります。
【参考】
Microsoft Entra ロールを割り当てる
Microsoft Entra ID でのロールベースのアクセス制御の概要
Contoso の開発者に、Litware Expense アプリの登録について証明書とクライアント シークレットだけを更新させます。組み込みロールでは粒度が足りません。
あなたは特権ロール管理者として、この委任を構成します。テナントには Microsoft Entra ID P1 があります。
行う構成はどれですか。
解説
【正解: C】の理由
カスタム ロールを使うと、必要なアクセス許可だけをロールに選べます。資格情報の更新に対応するアクセス許可は microsoft.directory/applications/credentials/update で、アプリケーションの登録の証明書とシークレットのページのすべてのフィールドへのアクセスを付与します。カスタム ロール定義を作成したうえでロールの割り当てを作成する 2 段階の作業になり、割り当てのスコープに対象のアプリの登録を指定すれば、そのアプリの登録に対してだけアクセス許可が及びます。カスタム ロールを使うには、カスタム ロールの割り当てを持つすべてのユーザーに対して Microsoft Entra ID P1 ライセンスが必要です。
【他選択肢が違う理由】
- A: カスタム ロールからベースラインのアクセス許可を複製することはできますが、組み込みのロールを複製することはできません。組み込みロールの定義は変更もできません。
- B: Azure カスタム ロールは仮想マシンやストレージなどの Azure リソースへのアクセスを制御するもので、Microsoft Entra ロールのアクセス許可は Azure カスタム ロールでは使えません。
- D: 作成のアクセス許可を含むロールの割り当ては、ディレクトリ スコープで行う必要があります。リソース スコープで割り当てた作成のアクセス許可は、アプリの登録を作成する権限を付与しません。
【参考】
Microsoft Entra ID でカスタム ロールを作成する
Microsoft Entra ID のカスタム ロールに対するアプリケーションの登録のアクセス許可
Microsoft Entra ID でのロールベースのアクセス制御の概要