概要

AzureでWafCharmを利用する場合に必要な権限とその設定手順を記載します。

必要な権限

Application Gateway の WAF への read / write 権限と Log Analytics の read 権限が必要です。

"Microsoft.Network/applicationGatewayAvailableWafRuleSets/read"
"Microsoft.Network/ApplicationGatewayWebApplicationFirewallPolicies/write"
"Microsoft.Network/ApplicationGatewayWebApplicationFirewallPolicies/read"
"Microsoft.Network/applicationGateways/read"
"Microsoft.OperationalInsights/workspaces/query/read"
"Microsoft.OperationalInsights/workspaces/query/AzureDiagnostics/read"

カスタムロールのJSON

JSON形式の場合、以下の通りとなります。

{
    "properties": {
        "roleName": "wafcharm",
        "description": "",
        "assignableScopes": [
            "/subscriptions/<サブスクリプションID>"
        ],
        "permissions": [
            {
                "actions": [
                    "Microsoft.Network/applicationGatewayAvailableWafRuleSets/read",
                    "Microsoft.Network/ApplicationGatewayWebApplicationFirewallPolicies/write",
                    "Microsoft.Network/ApplicationGatewayWebApplicationFirewallPolicies/read",
                    "Microsoft.Network/applicationGateways/read",
                    "Microsoft.OperationalInsights/workspaces/query/read",
                    "Microsoft.OperationalInsights/workspaces/query/AzureDiagnostics/read"
                ],
                "notActions": [],
                "dataActions": [],
                "notDataActions": []
            }
        ]
    }
}

全体の流れ

アプリケーションの登録
カスタムロールの登録と権限の付与
ロールの割り当て

手順

Azure Portalを開く
[アプリの登録] 画面を開く
[新規登録] をクリックする
[名前] を入力し、[サポートされているアカウントの種類] を選択する
名前はどのような値でも問題ありません。わかりやすいものにすることをおすすめします。
[登録] をクリックする
登録したアカウントの詳細画面を開く
左側のメニューにある [証明書とシークレット] をクリックする
[新しいクライアントシークレット] をクリックする
[クライアントシークレット] の [説明] を入力し、 [有効期限] を選択する
[追加] をクリックする
登録したシークレットの [値] をコピーする
この値は大切に保管してください。後ほどWAF Policy Configの設定をする際に使用します。
[サブスクリプション] 画面を開く
カスタムロールを追加するサブスクリプションを選択する
左側のメニューから [アクセス制御 (IAM)] をクリックする
[追加] をクリックする
[カスタムロールの追加]をクリックする
[カスタムロール名を] を入力し、 [次へ] をクリックする
[アクセス許可の追加] を選択し、必要な権限を追加する
以下のスクリーンショットのように、必要な権限に記載されている各種パーミッションをコピー＆ペーストして検索し、検索結果から、追加する権限にチェックを入れます。同じ手順をすべての権限に対して繰り返してください。
すべての権限を追加し終えたら、[確認と作成] をクリックする
[作成] をクリックする
[サブスクリプション] 画面を開く
カスタムロールの追加を行ったサブスクリプションを開く
左側のメニューから [アクセス制御 (IAM)] をクリックする
[追加] をクリックする
[ロール割り当ての追加] をクリックする
手順13から20で作成したカスタムロールを検索し、選択する
[メンバー] タブにて [メンバーの選択] をクリックする
手順2から5で登録したアプリケーションを選択する
[確認と作成] をクリックする