【Azure】ルート管理グループ（Tenant Root Group）のアクセス権を取得する方法

2022年3月5日

こんにちは、Aireです。

今回は、Azure ADユーザがルート管理グループ（Tenant Root Group）のアクセス権を取得する方法を紹介します。

ルート管理グループ（Tenant Root Group）とは

Azure ADディレクトリに存在する最上位の管理グループです。全ての管理グループとサブスクリプションはルート管理グループにまとめられるため、Azure AD単位でポリシーやロールを割り当てることができます。

デフォルトで全てのユーザは、ルート管理グループにアクセスすることができません。Azure ADのグローバル管理者が自身のアクセス権を昇格させることで、ルート管理グループへのアクセス権を取得できます。

Azure ADユーザがルート管理グループのアクセス権を取得すると、ルート（/）スコープでユーザーアクセス管理者ロールが割り当てられ、以下のようなことが可能になります。

ルート管理グループのアクセス権を取得して必要な設定変更が完了したら、ルート管理グループのアクセス権は削除するようにしてください。

以下、Azure PortalまたはAzure CLIを使用してグローバル管理者のアクセス権を昇格し、ルート管理グループのアクセス権を取得する手順を記載します。

az rest --method post --url "/providers/Microsoft.Authorization/elevateAccess?api-version=2016-07-01"

1	az rest --method post --url "/providers/Microsoft.Authorization/elevateAccess?api-version=2016-07-01"

az role assignment list --role "User Access Administrator" --scope "/"

1	az role assignment list --role "User Access Administrator" --scope "/"

az role assignment delete --assignee <Azure ADユーザ名（e.g., username@example.com）> --role "User Access Administrator" --scope "/"

1	az role assignment delete --assignee <Azure ADユーザ名（e.g., username@example.com）> --role "User Access Administrator" --scope "/"

上記以外にもAzure PowerShell（アクセス権の削除のみ）またはREST APIを使用することもできます。詳細は以下の公式サイトを参考にしてください。