Azure Active Directoryへのゲストユーザー招待とロール割り当て

# はじめに
Azure Active Directory (Azure AD) にゲストユーザーを招待し、ロールの割り当てを行う簡単な手順です。
Azureではロールベースのアクセス制御 (RBAC; Roll Based Access Control) という仕組みで「誰が」「どの」Azureリソースにアクセスできるかを制御します。
ユーザーへのロールの割り当てについてざっくり2つの方法があります。

1. ユーザーにロールを割り当てる
2. ユーザーが所属するグループにロールを割り当てる

お好みの方法を選択頂ければと思いますが、ユーザーの増減がある場合はグループの方がベターだと思います。本記事ではグループにロールを割り当てる方法を記載します。

# ユーザーの招待
1. [Azureポータル](https://portal.azure.com)にログインし、招待元のAzure Active Directoryに遷移します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/284925/2e9b4210-32c8-1d01-a564-387374bc45ee.png)

2. Azure Active Directoryテナントの [ユーザー] をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/284925/1ccd34aa-4d66-7ac8-72b2-93c0e407ebb4.png)

3. [新しいゲストユーザー] をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/284925/0a6b92a9-e9cf-198e-04b5-0c4402bf853a.png)

4. 新しいユーザー画面で [ユーザーの招待] にチェック、[電子メールアドレス] に招待したいメールアドレスを記入した上で [招待] をクリックします (他の項目は必要に応じて入力)。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/284925/6b51417a-f60f-564e-b992-168080354e2b.png)

5. ユーザーが正常に招待されましたという通知が表示されることを確認します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/284925/84edd78e-acd8-fa32-d79a-dc09919841cb.png)

# グループの作成
1. Azure Active Directoryテナントの [グループ] をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/284925/284d85d6-eb13-abd0-2471-54eddfcaf791.png)

2. [新しいグループ] をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/284925/841ff493-ead3-5f45-b0b3-c459a149ad19.png)

3. **新しいグループ** 画面で必要事項を入力して [作成] をクリックします。

項目 | 値
--- | ---
グループの種類 | (ここでは「セキュリティ」を選択)
グループ名 | (分かりやすいグループ名を記入)
グループの説明 | (分かりやすいグループの説明を記入)
メンバーシップの種類 | (ここでは「割り当て済み」を選択)
所有者 | Azure ADテナントに属するユーザーからグループの管理者を選択
メンバー | グループに所属させるユーザーを選択

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/284925/46db2aab-630b-5cf7-53b2-87e790b8375c.png)

# グループへのロールの割り当て
ここでは例として、ゲストユーザーに対して、サブスクリプション内のリソースの閲覧、特定のリソースグループ内のリソースの編集・閲覧を許可するロールを割り当てます。

## サブスクリプションのロール割り当て
1. [サブスクリプション一覧のブレード](https://portal.azure.com/#blade/Microsoft_Azure_Billing/SubscriptionsBlade) でロール割り当て対象のサブスクリプションを選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/284925/b56d1efd-2604-5caa-3071-b9ef5d8e999a.png)

2. [アクセス制御 (IAM)] をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/284925/fbfadb7d-4f87-6f29-bac8-7c2ee2a832c3.png)

3. **ロールの割り当てを追加する** の [追加] をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/284925/ae4890b5-c6b4-a500-da2d-8f2ad1c5e485.png)

4. **役割** で [閲覧者]、 **選択** でグループを選択して [保存] をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/284925/ce9a78ec-8d48-4feb-ad85-6cdeacc8927e.png)

5. **ロールの割り当ての表示** の [ビュー] をクリックしてグループに対するロールの割り当てが追加されていることを確認します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/284925/259ff1f2-f155-588a-2400-e2e1f8fbcb1f.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/284925/a10568f9-d77a-1e04-2183-4ba8c32b56c2.png)

## リソースグループのロールの割り当て
\* ロールを割り当てるリソースグループが無い場合は[リソースグループ一覧のブレード](https://portal.azure.com/#blade/HubsExtension/BrowseResourceGroups)から作成しておきます。

1. 対象のリソースグループを選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/284925/23ed5e44-9c60-a71e-7fb4-77d8f757f92a.png)

2. [アクセス制御 (IAM)] をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/284925/84178b95-adb6-6b56-3b79-ebfca1914ce2.png)

3. **ロールの割り当てを追加する** の [追加] をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/284925/625a79d3-d1a7-af51-e1e0-7d08c2ada643.png)

4. **役割** で [共同作成者]、 **選択** でグループを選択して [保存] をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/284925/45732a5a-bf2e-e67a-e2a4-df8d2f42475a.png)

5. **ロールの割り当ての表示** の [ビュー] をクリックしてグループに対するロールの割り当てが追加されていることを確認します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/284925/a10568f9-d77a-1e04-2183-4ba8c32b56c2.png)

# 招待されたユーザーでの確認
1. ユーザーの招待が完了すると、招待されたユーザーのメールアドレスに以下のようなメールが届きます。メール本文内の [Accept invitation] をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/284925/c64429ad-cb70-5831-3610-d8cd6284e446.png)

2. [承諾] をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/284925/8bc09fff-54b0-c67c-6a77-6cf8c5429470.png)

3. 完了するのをしばらく待ちます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/284925/41bcfba2-7607-64b6-51ce-41daa6b5d14c.png)

4. 自動的に以下の画面に遷移します。閉じてしまって大丈夫です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/284925/2bef7ffc-9982-0680-f382-d482299d8e6b.png)

5. [Azureポータル](https://portal.azure.com)にログインし、画面右上の [ディレクトリ + サブスクリプション] をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/284925/034a55e2-cf31-50b7-7ac7-a172e7966b05.png)

6. **すべてのディレクトリ** に招待元のAzure Active Directoryが表示されているはずなので、クリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/284925/899c5bb3-3a26-6976-fe46-9608958c45ae.png)

7. 閲覧者ロールを割り当てたAzureサブスクリプションのリソースが表示でき、共同作成者ロールを割り当てたリソースグループの編集ができれば成功です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/284925/d03b1bbc-53d2-40b7-4e55-cd7ecb20a0b2.png)

以上です。