Interact 2018に参加した。その際のメモ。
Azureの契約直前・直後に意識しておくこと10箇条 – 足利 惟 氏
Azureそのものの管理の話。
自己紹介
・株式会社pnop所属。
・JAZUG運営メンバー。
Azureの契約プランを一度確認するべし
・サブスクリプションにはさまざまな契約プランがある。
・Visual Studio サブスクリプション(旧MSDNサブスクリプション)には月1万7000円利用できる特典がついている。
従量課金制
・使った分だけお支払い。基本はクレジットカードを利用し、Microsoftへ直接支払い。
・デメリット
・会社のクレジットカードを作成する必要がある。(意外と敷居が高い)
・請求書払いの場合、SendGridなどサードパーティと外部サービスは購入も支払いもできない。
Azure CSP(Cloud Solution Provider)
・Microsoftがオススメしている。
・サブスクリプション + パートナーが提供する付加価値。
・購入方法はパートナーの仕様に依存し、パートナー経由で購入する。法人のみ。
・デメリット
・ASM(旧型式)のリソースは作成できない。移行の際にボトルネックになる可能性がある。
・Azure Marketplaceの従量課金製品のほとんどは購入できない。(BarracudaのFW製品など)
・Microsoftのサポートは購入できない。(パートナー提供のみ)
EA(Enterprise Agreement)
・大企業向けの一括購入プラン。基本的に1社1アカウント。
・年間160万円以上(？)利用する場合に利用可能。
・LPA(ライセンスプロバイダー)経由で購入。
・デメリット
・年間使用分を事前に購入するため、年間金額を予測して購入しないといけない。
(余ったものは返ってこない。これはクラウド？)
・Azure Marketplaceの購入はできるがほとんどの場合は別請求となる。
(足利さんはオラクルの製品を利用していて、別請求で100万円ほどかかったことがある。)
・StorSimpleを利用したいのであれば現状EA一択。
MSA(MicroSoftAccount)と組織アカウントの違いを理解すべし
・MSA：個人で作成できるアカウントで、Microsoftが管理する。
・組織アカウント：企業が組織レベルで作成するアカウント。Azure ADに情報が格納される。
・MSAにリスクがあるため、Azureのアカウントは、すべて組織アカウントで管理することがオススメ。
・MSAのリスク
・セキュリティポリシーが強制できない。
パスワードポリシー、多要素認証、監査など。
・5年ログインしないとアカウントが無効になる。
Azureサブスクリプションの管理者の場合は、サブスクリプションが無効になる可能性がある。
Azure ADは最初に作っておくべし
・MSAを起点としてサブスクリプションを作成すると、メールアドレスに応じたAzure ADテナントが勝手に作成される。
・CSPはこのリスクはない。
・EAの場合は注意が必要。以下URLから先にAzure ADを用意可能。
https://account.azure.com/organization/
Azure ADの管理者を理解するべし
・Azure ADの管理者はあくまでAzure AD内部を管理する。
そのためユーザを作成しても、そのユーザはリソースにアクセスできない。
(サブスクリプションの入力を求められる。もしくはサブスクリプション内で適切なロールを割り当てる必要がある。)
AzureADとサブスクリプションの関係を理解するべし
・Azure AD テナントに複数サブスクリプションを紐づけることが可能。
・Azure AD テナント間でサブスクリプションを譲渡可能。
・MSAはAzure ADではゲストユーザーとなる。
・ディレクトリを一緒にしておくとVNET Peeringを使うことが可能になる。
むやみに管理者ロールを渡すべからず
・RBAC(Role-Based Access Control)を利用して細かくリソース管理すること。
・管理者ロールはサブスクリプションを削除もできるし、所有者を無尽蔵に増やしていくことも可能。
・作業時のリスクを減らすために、適切な役割を割り振るべし。
リソース管理の便利機能を抑える
・リソースロック
すべてのユーザに削除禁止、読み取り専用どちらかの状態にリソースをロックする機能。
・Azure Resource Policy
リソースに関する規則を決める。RBACと違いデプロイ中のリソースプロパティに焦点。
Dシリーズしか作成できない、東京リージョンにしか作成できないなどの制限を付与できる。
・Management Group(Preview)
複数のサブスクリプションを管理するためのグループ。
サポートは必ず契約するべし
・Standardが値下げされてきている
・テクニカルサポートは有償サポート契約が必要
・パートナーになっている場合は、プログラム特典のサポートが利用できるかも
(Microsoft Partner Network・MSDN・Signature Cloud Support)
感想、というよりも疑問
・AzureはAzure ADを1つ作成して、そこにユーザを作り、AD周りの権限を与える。
サブスクリプションをAzure ADに複数割り当てて、ユーザにサブスクリプションごとにリソース権限を与える。
という使い方であっているのかどうか？
・アカウント管理者(サブスクリプション管理者)とサービス管理者はわけたほうがよいのか？