すべての経済活動を、デジタル化するために、すべての業務活動を、デジタル化したいコーポレートエンジニアリング室の @yuya-takeyama です。

週末は Festival Fruezinho という音楽フェスに参加し、アルゼンチンの音響派フォークシンガー・Juana Molina を観てきました。デジタルなサウンドを活用しつつも、ライブ感のあるバンドサウンドで、非常にスリリングなライブでした！

今回の話はアナログ寄りのデジタルな気がします。

Microsoft Entra ID の PIM とは

PIM (Privileged Identity Management) については、少し前に Fintech 事業部の piroshi さんが書いてくれた記事があるので、概要はそちらをご覧ください。

最小権限の原則に一歩近づく - Entra ID の "Just-in-time application access with PIM for Groups" 機能の紹介

かいつまんで説明すると、「この権限を使いたい」という時に数時間だけその権限に昇格できる機能で、さらに SCIM による自動プロビジョニングとの組み合わせで、Microsoft 外のサービスでも同様のことができるというもので、上記の記事では AWS での設定手順にも触れられています。

私はクラウド周りの設定はできる限り Terraform に寄せたいと考えていますが、100% そうすべきというわけでもありません。Terraform 化が追いついていない箇所をちょっと変えたい時や、初めて触れるサービスで試行錯誤を繰り返したい時、またはそもそも API での操作ができない機能などにおいて、短時間だけ権限昇格できることによって、フレキシブルかつセキュアな運用や業務フローの構築が可能になります。

Microsoft Entra ID の PIM とは
Microsoft 外のサービスで PIM が利用できる条件
PIM の設定を Terraform でやってみる
Google Workspace で PIM を利用する具体的な設定手順
制限事項
まとめ

Microsoft 外のサービスで PIM が利用できる条件

以下のような条件が揃っていれば、PIM による Just-in-Time Access が利用できるでしょう。

Microsoft Entra ID から SCIM プロトコルによる自動プロビジョニングができる
サービス上の権限をグループに対して割り当てあることができる

これを Google Workspace に当てはめて見ていきます。

LayerX においては、1 は元々設定できていました。まだ設定できていないぞ、という方は以下のドキュメントを参考にするのが良いでしょう。 (ドキュメント上 G Suite という Google Workspace の旧名称が使われていることに注意)

チュートリアル:G Suite を構成し、自動ユーザープロビジョニングに対応させる

問題は 2 です。

Google Workspace において、権限は管理者ロールという単位にまとめられていて、それをユーザーに割り当てることで、ユーザーはその権限を利用できます。

管理者ロールは、既定のものとしてあらかじめ用意されたものの他に、自分でカスタムロールを作成することもできます。

元々、管理者ロールをグループに対して割り当てることはできなかったのですが、2023 年の 4 月にできるようになっていました。

Google Workspace Updates JA: 特定のグループへの管理者ロールの割り当てが可能に

というわけで、Google Workspace は PIM が利用できる条件をクリアしていることがわかります。

PIM の設定を Terraform でやってみる

ここでは、Microsoft Entra ID 側の設定をやってみます。

PIM for Groups は比較的新しい機能なので、Terraform Provider for Azure Active Directory も新しめのリリースを使う必要があります。以下は2024年7月現在における最新版の v2.53.1 使います。 (Azure Active Directory は Microsoft Entra ID の旧名称)

data "azuread_group" "group_that_can_be_groups_admin" {
  object_id = "PIM での権限昇格を可能にする対象のグループの Object ID"
}

resource "azuread_group" "pim_google_workspace_groups_admin" {
  display_name     = "pim-google-workspace-groups-admin"
  security_enabled = true
  mail_enabled     = true
  mail_nickname    = "pim-google-workspace-groups-admin"
  types            = ["Unified"]
}

resource "azuread_group_role_management_policy" "pim_google_workspace_groups_admin" {
  group_id = azuread_group.pim_google_workspace_groups_admin.id
  role_id  = "member"

  active_assignment_rules {
    expiration_required   = true
    expire_after          = "P15D"
    require_justification = true
  }

  eligible_assignment_rules {
    expiration_required = false
  }
}

resource "azuread_privileged_access_group_eligibility_schedule" "pim_google_workspace_groups_admin" {
  group_id             = azuread_group.pim_google_workspace_groups_admin.object_id
  principal_id         = data.azuread_group.group_that_can_be_groups_admin.object_id
  assignment_type      = "member"
  permanent_assignment = true

  depends_on = [
    azuread_group_role_management_policy.pim_google_workspace_groups_admin,
  ]
}

data "azuread_service_principal" "google_workspace" {
  client_id = "Google Workspace の App registration の Application ID"
}

resource "azuread_app_role_assignment" "pim_google_workspace_groups_admin" {
  app_role_id         = "Default Organization の App Role ID"
  principal_object_id = azuread_group.pim_google_workspace_groups_admin.id
  resource_object_id  = data.azuread_service_principal.google_workspace.object_id
}

特に、PIM for Groups の設定に関わるのは以下のリソースです。

azuread_group_role_management_policy
- PIM グループへの割り当て、Eligibility (昇格できる資格) に関するポリシーの設定、通知の設定など
- eligible_assignment_rules で expiration_required = false にしておかないと、Eligibility にも時間制限がかかってしまう
- activation_rules の approval_stage を設定することによって、承認者による承認を必要にすることもできる
azuread_privileged_access_group_eligibility_schedule
- PIM グループへの Eligibility の割り当てを実際に行う
- 永久に割り当て可能な状態にするには permanent_assignment　= true とする
- 逆に期間限定にしたければ expiration_date を指定する